Datenschutzerklärung

1. Wer verantwortlich ist

Verantwortlich ist allein die oben genannte Person; niemand sonst entscheidet mit, was mit deinen Daten geschieht. Wer ausser uns etwas davon zu sehen bekommt, steht im Abschnitt «Wo die Daten liegen und wer sie sonst sieht».

Eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 DSG haben wir nicht ernannt.

2. Das Wichtigste in Kürze

• Suchen, vergleichen und lesen geht ohne Konto. Was du suchst, speichern wir nicht – mit drei Ausnahmen: Findet deine Suche nichts, halten wir 30 Tage lang fest, wonach gesucht wurde, damit wir den Fehler finden; und klickst du in der Suche auf ein Inserat, ein Haus oder ein anderes Portal, halten wir bei diesem Klick fest, mit welchen Filtern du gesucht hast; und seit dem 10.10.2026 halten wir jede Suche mit Datum und Uhrzeit fest, mit ihren Filtern aus unseren Listen und der Zahl der Treffer – ohne dich –, und löschen das nach 30 Tagen. Aufrufe zählen wir als Tagessummen. Klickst du auf ein anderes Portal, ein fremdes Inserat, die Seite eines Hauses oder ein Profil, halten wir ausserdem Datum und Uhrzeit dieses Klicks fest, dazu grob, ob Handy oder Desktop, das Land und, wenn der Klick aus der Suche kam, deren Filter – ohne dich: keine IP-Adresse, keine Gerätekennung, kein Cookie –, und löschen das nach 30 Tagen. Seit dem 29.9.2026 zählen wir dazu, wie viele verschiedene Geräte an einem Tag da waren – über einen Prüfwert, dessen Schlüssel jede Nacht wechselt, und ein Cookie, in dem nur der Tag deines letzten Besuchs steht; über einen Tag hinaus erkennen wir dich damit nicht wieder, und ablehnen kannst du es mit einem Klick. Werbung gibt es nur gekennzeichnet und direkt von uns verkauft – keine Werbenetzwerke, keine Werbe-Tracker, keine fremden Analysedienste und keine Skripte oder Schriften von fremden Servern. Bezahlt hervorgehobene Profile tragen «Hervorgehoben · bezahlt».
• Die Daten liegen auf eigenen Geräten in der Schweiz. Kein Hoster, kein Cloud-Speicher. Angebunden ist die Seite über Cloudflare, ein Unternehmen mit Sitz in den USA; es sieht dabei deine IP-Adresse und welche Seite du aufrufst.
• Aus Inseraten anderer Portale speichern wir keine Telefonnummern im Klartext, keine Fotos, keine Anzeigentexte und keine Strassenadressen. Arbeitsname, Alter und Körpermerkmale bleiben nur, solange das Inserat online ist, und sind sieben Tage danach gelöscht. Nach dem Arbeitsnamen kann man bei uns suchen, mit Bremsen.
• Wer dort inseriert und nicht hier erscheinen will, widerspricht ohne Konto, mit einem Knopf auf der Karte.
• Wenn du hier inserierst, ist dein Profil öffentlich und für Suchmaschinen auffindbar. Die E-Mail-Adresse deines Kontos wird es nie – eine Kontaktadresse, die du selbst einträgst und freigibst, schon.
• Einen Ausweis sehen wir nur an, wenn du dich prüfen lässt. Bis wir ihn angesehen haben, liegt dein Bild verschlüsselt bei uns; mit dem Entscheid ist es gelöscht, spätestens nach drei Tagen.
• Wir verkaufen keine Daten über Personen. Sobald wir Marktberichte anbieten, verkaufen wir Zahlen über Angebot, Preise und Nachfrage – nie unter fünf Inseraten je Zahl und nie über eine einzelne Person oder ein einzelnes Inserat. Was darin steht und wer ausser uns etwas sieht, steht im Abschnitt «Wo die Daten liegen und wer sie sonst sieht».
• Bezahlst du uns etwas, sobald es Bezahlangebote gibt, bewahren wir Bestellung, Rechnung und Beleg zehn Jahre auf, wie es das Gesetz verlangt. Deine IBAN und den Namen, unter dem deine Bank zahlt, speichern wir nicht (siehe «Wenn du bezahlst»).

3. Wenn du die Seite besuchst

Die Anwendung speichert deine IP-Adresse nicht. Aufrufe zählt sie als Tagessummen. Einzeln, mit Datum und Uhrzeit, hält sie dreierlei fest: Klicks auf ein anderes Portal, ein fremdes Inserat, die Seite eines Hauses oder ein Profil – grob mit der Art des Geräts und dem Land und, wenn der Klick aus der Suche kam, mit deren Filtern, aber ohne IP-Adresse, ohne Gerätekennung und ohne Cookie, 30 Tage lang (siehe «Statistik: zählen und festhalten, ohne dich zu kennen») –, seit dem 10.10.2026 jede Suche – mit ihren Filtern aus festen Listen und der Zahl der Treffer, ohne Angabe, wer du bist, 30 Tage, im selben Abschnitt unter «Suchen mit Datum und Uhrzeit» –, und Suchen, die nichts gefunden haben (siehe «Suchen ohne Treffer: was gesucht wurde»). Ein Protokoll darüber, wer was aufgerufen hat, schreibt sie nicht. Beim Anmelden, Registrieren und Melden zählen wir Versuche je Absenderadresse im Arbeitsspeicher, um Missbrauch zu bremsen. Dieser Zähler kommt nie in die Datenbank und ist nach einem Neustart weg.

Was du suchst und welche Filter du setzt, speichern wir nicht – nicht zu dir und nicht als Verlauf. Gezählt wird als Tagessumme für alle zusammen, welche Arten von Suchen und welche Filter benutzt wurden und, seit dem 4.10.2026, wonach gesucht wurde – jeder Wert und jeder getippte Begriff für sich, ohne Bezug zu dir und zu den übrigen Werten derselben Suche; wie genau, steht unter «Statistik: zählen und festhalten, ohne dich zu kennen».

Eine Ausnahme gibt es, und sie steht ausführlich unter «Suchen ohne Treffer: was gesucht wurde»: Findet deine Suche oder dein Preisvergleich nichts, halten wir fest, wonach gesucht wurde – 30 Tage lang, damit wir den Fehler finden können. Diese Zeile hängt an nichts: kein Konto, keine Sitzung, keine IP-Adresse, kein Cookie.

Was du anklickst, halten wir fest, wenn es ein anderes Portal, ein fremdes Inserat, die Seite eines Hauses oder ein Profil ist: mit Datum und Uhrzeit, aber nicht zu dir. In der Zeile steht nichts, woran wir dich oder dein Gerät erkennen könnten, und einen Verlauf je Besucher führen wir nicht. Seit dem 5. Oktober 2026 steht darin grob, ob es ein Handy oder ein Desktop war und aus welchem Land der Klick kam. Was genau in der Zeile steht, wie lange sie bleibt und was sich aus ihr trotzdem ablesen lässt, steht unter «Statistik: zählen und festhalten, ohne dich zu kennen».

Suchst du nach einem Namen, schickt dein Browser ihn nicht in der Adresse, sondern einmal an unseren Server. Dort liegt er unter einer zufälligen Kennung höchstens 20 Minuten im Arbeitsspeicher, damit du im Ergebnis blättern kannst. Findet die Namenssuche jemanden, zählen wir seit dem 29.9.2026 als Tagessumme, wie oft dieser Name gesucht wurde – 30 Tage lang, ohne Bezug zu dir (siehe «Statistik: zählen und festhalten, ohne dich zu kennen»). Findet sie niemanden, kommt der gesuchte Name in das Diagnoseprotokoll unten. Seit dem 4.10.2026 zählen wir ausserdem jeden gesuchten Namen als Tagessumme, mit oder ohne Treffer, 90 Tage lang und ebenso ohne Bezug zu dir. Gegen massenhaftes Abfragen ist die Namenssuche gebremst, für alle Besucher zusammen und ohne IP-Adresse.

Cookies setzt die Seite dir höchstens neun. Sieben davon entstehen nur, wenn du etwas dafür tust:

• sitzung – nur wenn du dich anmeldest. Ein zufälliger Schlüssel, der dich angemeldet hält, für Skripte unlesbar, höchstens 30 Tage gültig.
• muster – nur wenn du das Farbmuster wechselst. Hält deine Wahl ein Jahr, im diskreten Modus nur bis zum Schliessen des Browsers.
• diskret – nur wenn du den diskreten Modus einschaltest. Verschwindet, wenn du den Browser schliesst.
• alter – nur wenn du auf einem Profil bestätigst, mindestens 18 zu sein, um die Bilder hinter der Altersabfrage zu sehen. Er enthält den festen Wert «ab18» und sonst nichts: keinen Namen, kein Geburtsdatum, keine Kennung. Ein Jahr, im diskreten Modus nur bis zum Schliessen des Browsers. Wir speichern zu dieser Bestätigung nichts in unserer Datenbank.
• anmeldeweg – nur wenn du auf «Mit Google/Apple/Microsoft anmelden» oder auf deiner Kontoseite auf «Mit … verknüpfen» drückst. Hält höchstens zehn Minuten fest, welche Anmeldung dein Browser gerade begonnen hat (drei Zufallswerte, die Sprache und die Seite, auf die du danach zurückwillst; beim Verknüpfen dazu die Kennung deines Kontos und einen Prüfwert deiner Sitzung, nicht ihren Schlüssel), damit dir niemand eine fremde Anmeldung unterschieben kann. Gilt nur für Adressen unter /anmeldung/ und wird gelöscht, sobald du vom Anbieter zurückkommst.
• eigenzugang – nur wenn du dich mit dem Code anmeldest, den du bei der Bestätigung eines Profils bekommen hast, das jemand für dich angelegt hat. Ein zufälliger Schlüssel, für Skripte unlesbar, höchstens 30 Minuten gültig und beim Abmelden weg.

Seit dem 29. September 2026 kommt ein Cookie dazu, das du nicht anforderst: besuch. Es enthält zwei Dinge – den Tag deines letzten Besuchs und einen Zufallswert, den wir nirgends speichern. Es enthält nicht, was du hier tust, suchst oder ansiehst. Daraus zählen wir als Tagessumme, wie viele Geräte zum ersten Mal da sind und wie viele wiederkommen; einen Verlauf über dich gibt es nicht. Es hält ein halbes Jahr. Wenn dein Browser eine Anmeldung bei uns mitbringt, löschen wir es sofort: Es soll nie neben deinem Konto liegen.

Du kannst es ablehnen, ohne ein Konto zu haben und ohne JavaScript: Auf der Seite «Diskretion ist uns wichtig» (in der Fusszeile: «Diskretion») gibt es den Schalter «Diesen Browser nicht mitzählen». Er stellt nicht nur dieses Cookie ab, sondern die ganze Zählung für diesen Browser. Im diskreten Modus bekommst du das Besuchs-Cookie ohnehin nicht. Und im privaten Fenster deines Browsers verschwindet es mit dem Fenster – dort zählt jeder Besuch als neuer.

Seit dem 4. Oktober 2026 kommt ein zweites dazu: zufallsmuster. Hast du nie ein Farbmuster gewählt, ziehen wir beim ersten Aufruf zufällig eines der sieben und merken es uns darin, damit es beim Neuladen und auf jeder weiteren Seite dasselbe bleibt. Es enthält nur den Namen des Musters – auf jedem Gerät, das dasselbe gezogen hat, dasselbe Wort –, keine Kennung und nichts darüber, was du hier tust. Es verschwindet, wenn du den Browser schliesst; beim nächsten Mal ziehen wir neu. Wählst du selbst ein Farbmuster, gilt deine Wahl, und wir löschen zufallsmuster. Ablehnen kannst du es, indem dein Browser Cookies dieser Seite nicht annimmt; dann zeigt jede neu geladene Seite ein neu gezogenes Muster.

Sonst setzt die Seite kein Cookie. Deshalb gibt es auch kein Zustimmungsfenster: Art. 45c FMG verlangt einen Hinweis und die Möglichkeit, abzulehnen – beides steht hier und auf der Seite mit dem Schalter –, aber keine vorherige Zustimmung.

Das Cookie zaehlen bekommst du, wenn du «diesen Browser nicht mitzählen» wählst – auf der Seite «Diskretion ist uns wichtig» oder, für uns selbst, im Verwaltungsbereich. Es enthält nur das Wort «nein», ist auf jedem abgewählten Gerät dasselbe und dient dem Weglassen, nie dem Wiedererkennen. Ein weiteres Cookie, luecken_meldung, gibt es nur für uns selbst und nur im Verwaltungsbereich; es hält zwei Minuten lang fest, welche Rückmeldung die letzte Eingabe ausgelöst hat. Wer die Seite nur besucht, bekommt es nie.

Werbung nur gekennzeichnet und direkt von uns verkauft – keine Werbenetzwerke, keine Werbe-Tracker, keine fremden Analysedienste, keine Zählpixel, keine Analyse deines Verhaltens. Eine Werbung ist bei uns eine Karte, die wir selbst aus Text zeichnen, immer beschriftet mit «Werbung · Auftraggeber»; sie steht auf der Startseite, auf Ortsseiten oder in den Suchresultaten, nie auf der Seite eines Profils, und lädt nichts von fremden Servern (siehe «Wenn du bei uns wirbst»). Profile, die jemand bezahlt hervorheben lässt, stehen nur in einem eigenen Band über der Trefferliste der Suche und tragen immer die Beschriftung «Hervorgehoben · bezahlt»; das Band lädt nichts von fremden Servern. Die Seite lädt keine Skripte, Schriften, Karten oder Videos von anderen Unternehmen nach. Jede Seite sendet die Anweisung «Referrer-Policy: same-origin»: Wechselst du von hier auf ein anderes Portal, erfährt es nicht, auf welcher Seite bei uns du warst, wonach du gesucht und welche Filter du gesetzt hast. Nach draussen geht damit kein Verweis auf unsere Seite; nur unser eigener Server erfährt, von welcher unserer Seiten ein Klick kam.

Dass der Klick von rosalon kam, erfährt das Zielportal seit dem 19.9.2026 allerdings schon. Die Adresse, auf die wir dich weiterleiten, trägt dafür den Zusatz «utm_source=rosalon». Er ist für jeden Besucher, jeden Klick und jedes Inserat derselbe: keine Nummer, keine Uhrzeit, kein Kennzeichen für dich. Das Portal kann daraus sehen, wie viele Leute von uns kommen – nicht, wer du bist, und nicht, ob du schon einmal da warst. Willst du auch das nicht mitgeben: Der Zusatz steht offen in der Adresszeile und lässt sich dort löschen, und Erweiterungen, die solche Zusätze entfernen, erkennen ihn.

Links zu fremden Diensten. Drückst du auf einer Hausseite auf Route, Fahrplan oder Uber, öffnet sich der Dienst von Google, der SBB oder Uber mit der Adresse des Hauses als Ziel; was dieser Dienst damit tut, bestimmt er. Wir schicken ihm nicht mit, woher du kommst. Der Link zu Bolt führt nur auf Bolts Seite für die Gegend, ohne Ziel.

Startpunkt und Reisezeiten. Suchst du Häuser in deiner Nähe, gibst du eine Postleitzahl oder einen Ort ein oder lässt deinen Browser den Standort bestimmen – das fragt er dich vorher. Wir runden den Punkt auf etwa einen Kilometer, bevor er deinen Browser verlässt, und auf dem Server noch einmal. Er steht nur in der Adresse der Seite, nicht in einem Cookie und nicht in der Datenbank; im Verlauf deines Browsers steht er deshalb schon. Wer das vermeiden will, tippt eine Postleitzahl. Für die Fahrzeit mit dem ÖV fragt unser Server bei opentransportdata.swiss nach, dem Fahrplandienst des öffentlichen Verkehrs: mit dem gerundeten Startpunkt, der Ortsmitte des Hauses und der Uhrzeit, ohne deine IP-Adresse und ohne Angaben über deinen Browser. Auto-, Velo- und Fusswege rechnen wir auf unserem eigenen Gerät. Die Ergebnisse behalten wir nur im Arbeitsspeicher; wie lange, steht unten in der Tabelle.

Verkehrsmeldungen und ÖV-Störungen. Die Verkehrsmeldungen des Bundesamts für Strassen (ASTRA) holt unser Server für die ganze Schweiz und behält sie nur im Arbeitsspeicher; das ASTRA erfährt dabei nichts über dich, deinen Startpunkt oder das Haus. Störungen im ÖV kommen mit der Antwort von opentransportdata.swiss, ohne weitere Anfrage.

Der Schnellausstieg auf jeder Seite wechselt sofort auf google.ch, ersetzt dabei den Eintrag im Verlauf, leert den Browserspeicher dieser Seite und löscht die Cookies muster und zufallsmuster, diskret und alter. Was dein Browser sonst speichert oder mit anderen Geräten abgleicht, kann keine Webseite löschen.

4. Statistik: zählen und festhalten, ohne dich zu kennen

Wir zählen Aufrufe als Tagessummen. Von einem Aufruf bleibt in diesen Zählern nur, dass an diesem Tag ein Zähler um eins steigt, und zwar je einzeln für: die Art der Seite (etwa «Profilseite», nie ihre Adresse mit Nummer oder Suchbegriffen), die Sprache, ob Handy oder Desktop, die Website, von der du gekommen bist – nur ihre Hauptadresse, etwa google.ch –, das Land (weiter unten), und bei der Seite eines Hauses, welche Hausseite es war. Kommst du über den QR-Code auf einer unserer gedruckten Visitenkarten oder Kleber, zählen wir nur, welcher der beiden es war – «Visitenkarte» oder «Kleber» –, ebenfalls als Tagessumme in einer eigenen Zeile und sonst nichts; den Zusatz dafür nehmen wir gleich wieder aus der Adresse. Bei Suchmaschinen und anderen Programmen zählen wir deren Art und einen Kurznamen. Vier Arten von Klicks halten wir ausserdem einzeln fest, mit Datum und Uhrzeit, grob mit der Art des Geräts und dem Land und mit den Filtern der Suche, aus der der Klick kam, aber ohne Angabe, wer du bist – welche, steht weiter unten unter «Klicks mit Datum und Uhrzeit».

Aus welchem Land dein Aufruf kam, zählen wir seit dem 29.9.2026 ebenfalls als Tagessumme. Cloudflare, über das die Seite angebunden ist, gibt uns dazu das Land als Kürzel mit, etwa «CH» – wir lesen dafür nicht deine IP-Adresse, und das Kürzel steht in einer eigenen Zeile, nie zusammen mit Sprache, Gerät oder Seite. Wer über das Tor-Netz kommt, zählt ohne Land. Bei Suchmaschinen und anderen Programmen zählen wir kein Land. Grob – die Schweiz, Deutschland, Frankreich, Italien, Österreich, Liechtenstein oder «anderes» – steht das Land seit dem 5. Oktober 2026 ausserdem bei jedem Klick in der Liste weiter unten («Klicks mit Datum und Uhrzeit»).

Nicht gespeichert werden: deine IP-Adresse und die Kennung deines Browsers – die Zählung liest beide, um Aufrufe aus unserem eigenen Netz wegzulassen und um daraus den täglich wechselnden Prüfwert zu rechnen (weiter unten), und vergisst sie im selben Augenblick –, die vollständige Adresse samt Suchbegriffen und die vollständige Adresse der Seite, von der du kommst – kommt ein Klick aus unserer Suche, nehmen wir aus deren Adresse nur die angeklickten Filter (weiter unten, «Klicks mit Datum und Uhrzeit») und vergessen den Rest. Vom einzigen Cookie, das dabei entsteht, steht in unserer Datenbank nichts: Es liegt auf deinem Gerät, und bei uns bleibt nur eine Summe. In den Tagessummen stehen die Merkmale nie zusammen in einer Zeile: Welche Sprache zu welcher Herkunft gehörte, steht nirgends. Einen Verlauf je Person gibt es in dieser Statistik nicht. Einzeln festgehalten wird an drei Stellen etwas: Klicks auf ein Ziel, mit Datum und Uhrzeit, grob mit der Art des Geräts und dem Land und mit den Filtern der Suche davor, aber ohne Angabe, wer du bist (weiter unten, «Klicks mit Datum und Uhrzeit»), seit dem 10.10.2026 jede Suche mit Datum und Uhrzeit, ihren Filtern und der Zahl der Treffer, ebenfalls ohne Angabe, wer du bist (weiter unten, «Suchen mit Datum und Uhrzeit»), und Suchen ohne Treffer (im Abschnitt «Suchen ohne Treffer: was gesucht wurde»). Das Vorabladen von Seiten, der Anbieterbereich und die Verwaltung zählen nicht mit, ebenso wenig Aufrufe aus unserem eigenen Netz, von angemeldeten Verwaltern und von Geräten, die mit dem Cookie zaehlen ausdrücklich ausgenommen sind – von dir selbst oder von uns. Die Zahlen sehen nur wir.

Seit dem 1. Oktober 2026 vergleichen wir deine IP-Adresse dabei auch mit den öffentlichen Listen, in denen Amazon Web Services, Google Cloud, Microsoft Azure, Oracle Cloud und DigitalOcean die Adressen ihrer Rechenzentren angeben, sowie mit den Adressbereichen von weiteren Rechenzentrumsbetreibern wie OVHcloud, Hetzner oder Contabo, die wir den öffentlichen Routing-Daten des RIPE NCC entnehmen: Kommt ein Aufruf von dort, zählen wir ihn als Programm und nicht als Menschen, und in der Tagessumme steht dann nur, von welchem dieser Betreiber er kam – die Adresse selbst speichern wir auch dafür nicht.

Seit dem 29. September 2026 zählen wir auch, wie viele verschiedene Geräte an einem Tag da waren. Dafür rechnen wir aus deiner IP-Adresse und der Kennung deines Browsers einen Prüfwert – einen Hashwert, aus dem sich weder das eine noch das andere zurückgewinnen lässt. Der Schlüssel dazu wechselt jede Nacht: Derselbe Anschluss mit demselben Browser ergibt morgen einen völlig anderen Wert, und die beiden lassen sich nicht zusammenbringen, auch von uns nicht. Die IP-Adresse selbst speichern wir weiterhin nie, auch nicht vorübergehend. Der Hauptschlüssel liegt nicht in der Datenbank, sondern nur in der Umgebung des Servers.

Diese Prüfwerte bleiben höchstens zwei Tage. Sobald ein Tag zu Ende ist, bleibt von ihm die blosse Zahl – «an diesem Tag waren es so viele Geräte» –, und die Werte selbst sind gelöscht. Länger wären sie ohnehin zu nichts zu gebrauchen: Mit dem Schlüssel von gestern lässt sich nichts von heute vergleichen.

Aus dem Cookie besuch (siehe oben) zählen wir zweierlei, beides nur als Tagessumme: ob ein Gerät an diesem Tag zum ersten Mal da war oder wiederkam, und wie lange der letzte Besuch her ist, in vier groben Gruppen – gestern, vor 2 bis 7 Tagen, vor 8 bis 30 Tagen, länger. Ein Gerät zählt dabei einmal am Tag, nicht einmal je Seite. Was du an einem Tag angesehen oder gesucht hast, steht in keiner dieser Zeilen; sie sagen nur, dass jemand da war.

Was diese Zahlen nicht können, und das gehört dazu: Ein Mensch mit Handy und Laptop ist zwei Geräte. Zwei Menschen im selben WLAN mit demselben Browser sind eines. Im privaten Fenster zählt jeder Besuch als neuer. Es ist eine Schätzung darüber, wie viele Menschen hier sind, keine Zählung von Menschen – und sie ist mit Absicht so grob, dass sie über dich nichts aussagt.

Auch diese Tagessummen bleiben nicht für immer: Nach 24 Monaten löschen wir sie. Die Zahlen über alle Besucher betreffen keine Person; dass wir sie löschen, ist eine Zusage von uns und keine Pflicht aus dem Gesetz. Die Zahlen je Profil dagegen sind einem Inserat zugeordnet: Für sie gilt dieselbe Frist, und sie verschwinden ausserdem mit dem Inserat oder dem Konto. Zwei Jahre reichen für einen Vergleich mit dem Vorjahr; mehr brauchen wir nicht.

Klicks nach draussen zählen wir ebenso als Tagessumme. Ein Link auf ein Inserat bei einem anderen Portal, auf die Website eines Hauses oder auf den Eintrag eines Hauses bei einem Portal führt über eine eigene Weiterleitung bei uns. Dort steigt ein Zähler für die Hauptadresse des Ziels um eins – etwa xdate.ch –, und der Browser geht weiter. Gezählt wird nur, wenn ein Mensch klickt, nicht bei Suchmaschinen und anderen Programmen; weitergeleitet wird in jedem Fall. Von welcher Seite aus, steht nirgends; wann geklickt wurde, grob mit welcher Art Gerät und aus welchem Land und – wenn der Klick aus der Suche kam – mit welchen Filtern gesucht wurde, halten wir in der Liste weiter unten fest («Klicks mit Datum und Uhrzeit»). Die Filter gibt der Link in der Suche unserer Weiterleitung mit; das andere Portal erfährt sie nicht. Weitergeleitet wird nur auf Adressen, die bei uns auch wirklich stehen. Die Zieladresse trägt den Zusatz «utm_source=rosalon» – für alle Besucher derselbe; was er ist und was er nicht ist, steht oben unter «Wenn du die Seite besuchst».

Welches fremde Inserat es war, zählen wir seit dem 29.9.2026 in einer eigenen Zeile daneben: Für jedes angeklickte Inserat steigt ein Zähler um eins, mit einer internen Kennung und sonst nichts – nie der Arbeitsname, nie eine Telefonnummer, nie die Adresse des Inserats, nie das Portal in derselben Zeile, und nie zusammen mit Sprache, Gerät oder Herkunft. Diese Zahl sehen nur wir, im Verwaltungsbereich; sie steht auf keiner öffentlichen Seite und nicht in den Marktzahlen. Diese Zeile bleibt 30 Tage und nicht, wie die übrigen Tagessummen, zwei Jahre: Ein Inserat gehört einer Person, und eine längere Reihe wäre eine Zeitreihe über sie. Wer das Inserat führt, kann ihm wie bisher mit dem Knopf auf der Karte widersprechen; dann ist auch diese Zeile nicht mehr zuzuordnen. Wann ein Inserat angeklickt wurde, steht ausserdem in der Liste weiter unten («Klicks mit Datum und Uhrzeit»), unter derselben Kennung und dort grob mit Gerät und Land und den Filtern der Suche davor.

Welche Hausseite du dir ansiehst, zählen wir ebenfalls: Für jedes Haus steigt ein eigener Zähler um eins, mit der Nummer des Hauses und sonst nichts – er steht in einer eigenen Zeile und nie zusammen mit Sprache, Gerät oder Herkunft. Gezählt wird nur, wenn es das Haus bei uns gibt, und nicht bei Suchmaschinen und anderen Programmen. Ein Haus ist ein Betrieb; wer du bist, steht in dieser Zahl nicht. Wann eine Hausseite aufgerufen wurde, halten wir ausserdem in der Liste weiter unten fest («Klicks mit Datum und Uhrzeit»), dort grob mit Gerät und Land und den Filtern der Suche davor.

Dasselbe zählen wir für Inserate: welche Profilseite es war. Für jedes Profil steigt ein eigener Zähler um eins, mit der Kennung des Profils und sonst nichts, in einer eigenen Zeile – nie zusammen mit Sprache, Gerät oder Herkunft. Ein zweiter Zähler hält fest, dass ein Kontaktknopf gedrückt wurde. Gezählt wird nur, wenn es das Profil bei uns gibt, und nicht bei Suchmaschinen und anderen Programmen. Diese Zahlen sieht die Person, die das Inserat führt, und zwar nur für ihre eigenen Inserate. Löscht sie ein Inserat oder ihr Konto, löschen wir die Zahlen mit. Seit dem 10.10.2026 sehen auch wir diese Zahlen, im Verwaltungsbereich und dort nur mit Adminrechten, je Inserat und zusammengezählt: für den Betrieb, um Missbrauch zu erkennen und um die Personen, die bei uns inserieren, beraten zu können – etwa wenn ein Inserat kaum gesehen wird. Auf einer öffentlichen Seite und in den Marktzahlen stehen sie nicht. Wann eine Profilseite aufgerufen wurde, halten wir ausserdem in der Liste weiter unten fest («Klicks mit Datum und Uhrzeit»), dort grob mit Gerät und Land und den Filtern der Suche davor; diese Liste sehen wir, im Verwaltungsbereich, und auch ihre Zeilen löschen wir mit dem Inserat.

Bei einem solchen Klick steht auch, welcher der sieben Knöpfe es war – Telefon, SMS, WhatsApp, Telegram, E-Mail, Kontaktformular oder Website. Gezählt wird die Art des Knopfes, nie das Ziel dahinter: nicht die Nummer, die angerufen wurde, nicht die Adresse, an die geschrieben wurde, nicht der Benutzername. Auch das ist eine Tagessumme je Inserat, ohne Uhrzeit, ohne Reihenfolge und ohne eine einzige Angabe über dich; aus sieben Klicks wird die Zahl sieben und kein Weg durch die Seite. Wie oft auf der ganzen Plattform welcher Kontaktweg benutzt wird, zählen wir nicht eigens. Im Verwaltungsbereich zählen wir dafür die Zahlen der einzelnen Inserate zusammen; diese Summe steht auf keiner öffentlichen Seite und nicht bei der Person, die ein Inserat führt.

Klicks, die auf unserer Seite bleiben, zählen wir sonst nicht gesondert; sie sind Seitenaufrufe wie jeder andere. Ob ein Klick auf ein Profil oder ein Haus aus dem Preisvergleich oder aus der Suche kam, erfahren wir also nicht, und wir wollen es auch nicht: Das wäre ein Stück Weg statt einer Zahl.

Klicks mit Datum und Uhrzeit. Vier Dinge halten wir nicht nur als Tagessumme fest, sondern zusätzlich einzeln, in einer Liste: den Klick auf ein anderes Portal oder auf die Website eines Hauses, welches fremde Inserat dabei angeklickt wurde, den Aufruf der Seite eines Hauses und den Aufruf eines Profils. In jeder Zeile stehen sechs Angaben und keine siebte: Datum und Uhrzeit, auf die Sekunde; die Art des Klicks; das Ziel – die Hauptadresse des Portals oder der Website, die interne Kennung des Inserats, die Nummer des Hauses oder die Kennung des Profils –; grob die Art des Geräts – Handy oder Desktop, so wie bei den Tagessummen; ein Tablet zählt dabei meist als Desktop –; grob das Land, das Cloudflare zu deinem Anschluss meldet – die Schweiz, Deutschland, Frankreich, Italien, Österreich oder Liechtenstein, sonst nur «anderes», und «unbekannt», wenn keines bekannt ist; und, wenn der Klick aus unserer Suche kam, die Filter dieser Suche. Zeilen von vor dem 5. Oktober 2026 haben kein Gerät und kein Land; nachgetragen wird nichts. Die Filter sind nur, was du in der Suche aus festen Listen angeklickt hast: Kanton, Umkreis in Kilometern, Rubrik, Geschlecht, Services, «Mutter und Tochter», «Schwestern», «Zwillinge», «Albino», «kleinwüchsig» und «Zahnspange», für wen das Angebot ist, Kontaktweg, Altersgruppe, Selbstbeschreibung, Sprache, Herkunftsland, Körpermerkmale, Preis und Körpergrösse in Stufen, «Nur verifizierte», «Nur mit Schutz» und «Profile ohne Angabe ausblenden». Nie dabei sind, was du tippst (die Namenssuche, das Suchfeld der Services), deine Postleitzahl, ein Ort oder Standort, die Ethnie, «schwanger» und die Seitenzahl. Bei einer Hausseite und einem Profil lesen wir sie aus der Adresse der Suchseite, die dein Browser bei einem Klick innerhalb unserer Seite mitschickt; beim Klick auf ein anderes Portal gibt der Link sie unserer Weiterleitung mit, und das andere Portal erfährt sie nicht. Die Adresse selbst speichern wir nicht. Kam der Klick nicht aus der Suche, steht dort nichts; Zeilen von vor dem 6. Oktober 2026 haben keine Filter. Ein Klick auf ein fremdes Inserat sind dabei zwei Zeilen mit derselben Uhrzeit: das Portal und die Kennung des Inserats.

In dieser Liste steht nichts, woran wir dich erkennen könnten: keine IP-Adresse, keine Kennung deines Geräts oder Browsers und kein Prüfwert daraus, kein Cookie, nicht dein Browser und nicht dein Betriebssystem, nicht die Seite, von der du gekommen bist, nicht deine Sprache, kein Ort, nichts, was du in ein Suchfeld getippt hast, kein Konto und keine laufende Nummer. Es gibt keinen Schlüssel, über den sich zwei Zeilen demselben Besucher zuordnen liessen, und einen Verlauf je Besucher führen wir nicht. Was sich trotzdem ablesen lässt, sagen wir offen: Jede Zeile ist ein kleines Profil der Vorlieben eines Besuchs. Sind an einem Tag nur wenige Besucher da, zeigt die Reihenfolge der Klicks, was jemand nacheinander angeklickt hat – erst dieses Haus, dann jenes Inserat –, und mit den Filtern daneben lässt sich zusammensetzen, was jemand gesucht und angeklickt hat. Gerät und Land machen diese Abfolge leichter lesbar: Ist an einem ruhigen Tag nur ein Handy aus Deutschland da, lassen sich seine Klicks in der Liste aneinanderreihen. Nicht, wer es war. Dasselbe gilt für eine Suche ohne Treffer, die wir mit ihrem Zeitpunkt festhalten (nächster Abschnitt): Liegt sie zeitlich dicht bei einem Klick, liegt nahe, dass beides von derselben Person stammt.

Die Liste sehen nur wir, im Verwaltungsbereich; sie steht auf keiner öffentlichen Seite und nicht in den Marktzahlen. Jede Zeile löschen wir nach 30 Tagen, im nächtlichen Lauf; die Tagessummen bleiben wie oben beschrieben. Wird ein Inserat bei uns oder das Konto dahinter gelöscht, löschen wir die Zeilen zu diesem Profil im selben Augenblick mit. Verschwindet ein fremdes Inserat oder ein Haus aus unserem Bestand, bleibt die Zeile bis zum Ablauf der 30 Tage stehen. Festgehalten wird nur, wenn ein Mensch klickt – nicht bei Suchmaschinen und anderen Programmen, nicht aus unserem eigenen Netz, nicht bei angemeldeten Verwaltern und nicht bei Geräten, die mit dem Cookie zaehlen ausgenommen sind. Der Klick auf einen Kontaktknopf steht nicht in dieser Liste; er bleibt eine Tagessumme ohne Uhrzeit.

Suchen mit Datum und Uhrzeit. Seit dem 10.10.2026 halten wir zusätzlich jede Suche, jeden Preisvergleich und jede Eingabe ins Freitextfeld einzeln fest, in einer eigenen Liste, damit wir sehen, was auf der Seite nacheinander gesucht und angeklickt wird – was, nie wer. In jeder Zeile stehen: Datum und Uhrzeit, auf die Sekunde; die Art (Suche, Preisvergleich oder Freitext); die Sprache der Seite; bei einer Suche und einem Preisvergleich die gesetzten Filter, nur Werte aus unseren festen Listen – dieselben wie bei den Klicks oben, dazu eine Stadt aus unserer Liste, die ersten zwei Ziffern der Postleitzahl, Leistungen und Dauer des Preisvergleichs und ob nach einem Namen gesucht wurde –, und die Zahl der Treffer; beim Freitextfeld, was die Suche erkannt hat, und bei einem Haus, einem Ort, einem Service, einem Merkmal oder «nichts gefunden» das Wort in derselben vereinfachten Schreibweise wie in der Tagessumme. Nie darin stehen: wer du bist – keine IP-Adresse, kein Cookie, keine Sitzung, kein Konto, kein Gerät, kein Land –, ein gesuchter Name, eine Telefonnummer, eine E-Mail-, Strassen- oder Webadresse, deine vollständige Postleitzahl, die Ethnie und «schwanger». Der Preis ist derselbe wie bei den Klicks: Sind nur wenige Besucher da, lässt sich aus der Reihenfolge zusammensetzen, was jemand nacheinander gesucht und angeklickt hat – nicht, wer es war. Die Liste sehen nur wir, im Verwaltungsbereich und nur mit Adminrechten; jede Zeile löschen wir nach 30 Tagen, im nächtlichen Lauf, und sie kommt nicht in die Sicherung. Festgehalten wird nur, wenn ein Mensch sucht – mit denselben Ausnahmen wie bei den Klicks.

Suchen und Preisvergleiche zählen wir ebenso als Tagessummen und nur, wenn ein Mensch sucht, nicht bei Suchmaschinen und anderen Programmen. Bei einer Suche steigt ein Zähler für ihre Art – nach einem Namen, nach einem Ort, mit anderen Filtern oder ganz ohne – und je ein Zähler für den Namen jedes gesetzten Filters, etwa «Kanton» oder «Haarfarbe». Beim Preisvergleich steigt ein Zähler für seine Art – mit ausgewählten Leistungen, nur nach dem Grundpreis einer Dauer oder ohne Auswahl –, je einer für jede ausgewählte Leistung, als Nummer aus unserer festen Liste der Dienstleistungen, und einer für die gewählte Dauer, etwa «60 Minuten» oder «Nacht». Blätterst du im Ergebnis weiter, zählt das nicht noch einmal.

In diesen Zählern gilt: Gezählt wird der Name eines Filters, nie sein Wert – dass nach einem Kanton oder einer Postleitzahl gesucht wurde, nicht nach welchem Kanton und nicht nach welcher Postleitzahl. Was du in ein Suchfeld tippst, zählen wir hier nicht – nur, dass das Feld benutzt wurde. Bei einer Namenssuche steht in diesen Zählern nur, dass es eine gab: nicht der Name, nicht seine Kennung, nicht seine Länge. Die einzigen Werte, die wir in diesen Zählern zählen, sind die Leistung und die Dauer im Preisvergleich, und beide stammen aus unseren eigenen festen Listen, nicht aus deiner Eingabe. Wie oft ein Name gesucht wurde (seit dem 29.9.2026) und wonach gesucht wird – auch welcher Kanton und was getippt wurde (seit dem 4.10.2026) –, zählen wir getrennt davon; die Absätze dazu stehen weiter unten. Auch diese Zähler stehen je in einer eigenen Zeile: Welcher Filter mit welchem anderen zusammen gesetzt war, zu welcher Suche er gehörte, in welcher Sprache, mit welchem Gerät, von welcher Website aus oder zu welcher Uhrzeit gesucht wurde, steht nirgends.

Seit dem 22.9.2026 zählen wir auch, ob eine Suche oder ein Preisvergleich nichts gefunden hat, ebenso als Tagessumme und nur, wenn ein Mensch sucht. Gezählt wird nur die Art der Anfrage ohne Treffer – eine Suche nach einem Namen, nach einem Ort, mit anderen Filtern oder ganz ohne, oder ein Preisvergleich –, etwa «eine Ortssuche fand nichts». Nie welcher Ort, welche Filter oder welcher Name, und auch dieser Zähler steht in einer eigenen Zeile, ohne Sprache, Gerät oder Uhrzeit. Blätterst du weiter, zählt das nicht noch einmal. Das gilt für diese Zahl; was gesucht wurde, halten wir seit dem 27.9.2026 getrennt davon fest – im Abschnitt darunter steht, wie.

Seit dem 29.9.2026 zählen wir auch, wie oft ein Name gesucht wurde – als Tagessumme je Name, in einer eigenen Tabelle, und nur, wenn die Suche jemanden gefunden hat. Gesucht wird bei uns nach dem Arbeitsnamen, dem Fantasienamen, unter dem jemand inseriert; was etwas findet, ist darum der Anfang eines Namens, der ohnehin offen auf einer Karte bei uns steht. Was nichts findet – eine Nummer, ein Satz, ein Name, unter dem niemand inseriert –, kommt nicht in diese Zahl. Die Zeile trägt den Namen und die Zahl, sonst nichts: keine Sitzung, keine IP-Adresse, kein Cookie, kein Gerät, keine Sprache, keinen Verweis auf das Ergebnis. Diese Zeile bleibt 30 Tage, wie das Diagnoseprotokoll, und aus demselben Grund: Das Suchfeld nimmt freien Text. Diese Zahlen sehen nur wir.

Seit dem 4.10.2026 zählen wir auch, wonach gesucht wird – als Tagessumme je Wert, in einer eigenen Tabelle, und nur, wenn ein Mensch sucht. Gezählt werden Werte aus unseren festen Listen – der Kanton, die Rubrik, eine Leistung, ein Merkmal wie «Haarfarbe: blond» – und was du in ein Suchfeld tippst: in die Leistungssuche, in das Suchfeld des Preisvergleichs und in die Namenssuche, auch wenn die Suche nichts findet, auch mit Tippfehlern. Ein getippter Begriff wird klein geschrieben gespeichert und auf höchstens 100 Zeichen gekürzt; eine Telefonnummer, eine E-Mail-Adresse oder ein Link darin wird vorher ersetzt – aus «Lara 079 …» wird «lara [Telefonnummer]» –, und die Nummer, die Adresse und den Link selbst speichern wir nie. Zu jedem Wert halten wir nur fest, ob die Suche etwas gefunden hat. Jeder Wert steht in einer eigenen Zeile: Mit welchem anderen Wert er zusammen gesucht wurde, von wem, mit welchem Gerät, aus welchem Land oder zu welcher Uhrzeit, steht nirgends. Postleitzahlen, Gemeinden, die Ethnie und «schwanger» zählen wir nicht als Wert. Getippte Begriffe bleiben 90 Tage, die Werte aus festen Listen wie die übrigen Tagessummen 24 Monate. Blätterst du im Ergebnis weiter, zählt das nicht noch einmal. Diese Zahlen sehen nur wir.

Seit dem 8.10.2026 steht oben in der Suche ein Feld, in das du frei tippst – einen Namen, ein Haus, einen Ort, einen Service. Der Text geht nicht in die Adresse, sondern einmal an unseren Server; was die Suche daraus gemacht hat, liegt dort unter einer zufälligen Kennung höchstens 20 Minuten im Arbeitsspeicher. Als Tagessumme zählen wir, wonach gesucht wurde: was die Suche erkannt hat – ein Haus, einen Ort oder eine Postleitzahl, einen Service, ein Merkmal, einen Namen oder nichts – und den Begriff dazu, klein und ohne Akzente geschrieben, auf höchstens 40 Zeichen gekürzt. Nach Telefonnummern, E-Mail-Adressen und nach Adressen oder Webadressen fremder Inserate suchen wir nicht; tippst du so etwas, zählen wir nur, dass es vorkam, und speichern es nicht. Jeder Begriff steht in einer eigenen Zeile, ohne Bezug zu dir und zu den übrigen Begriffen: keine Sitzung, keine IP-Adresse, kein Cookie, kein Gerät, keine Sprache, keine Uhrzeit. Diese Zeilen bleiben 30 Tage. Diese Zahlen sehen nur wir. Was die Suche erkannt hat, steht seit dem 10.10.2026 ausserdem mit Uhrzeit in einer eigenen Liste – bei einem Namen ohne den Namen (weiter oben, «Suchen mit Datum und Uhrzeit»).

Sobald wir Marktberichte anbieten (siehe «Wo die Daten liegen und wer sie sonst sieht»), gehen zwei Arten dieser Zahlen in sie ein, und nur als Monatssummen: wie oft nach einem Kanton, einer Rubrik und einer Leistung gesucht wurde, und Begriffe aus dem Freitextfeld, die einem Service, einem Ort, einem Merkmal aus unseren Listen oder einem bei uns geführten Haus entsprechen – jeder Begriff erst ab fünf Suchen im Monat. Nie darin stehen ein gesuchter Name, eine Telefonnummer, eine E-Mail-, Strassen- oder Webadresse und nichts aus einem einzelnen Besuch. «Diese Zahlen sehen nur wir» gilt für die Tageszeilen oben; die Monatssummen bilden wir, bevor die Tageszeilen nach ihrer Frist gelöscht werden, und an diesen Fristen ändert sich nichts.

Seit dem 29.9.2026 zählen wir auch, wie eine Fehlermeldung ausgegangen ist: abgeschickt, beim Versand gescheitert oder vom Formular abgewiesen. Drei Zähler, jeder in einer eigenen Zeile, und darin steht nichts als eines dieser drei Wörter – nicht dein Text, nicht die Adresse für eine Rückfrage, nicht die Seite, die du gemeldet hast, nicht deine Sprache und nicht die Uhrzeit. Wozu: Ohne diese Zahlen merkt niemand, wenn der Meldeweg klemmt; eine Meldung, die beim Versand verlorengeht, wäre sonst spurlos weg. Nicht mitgezählt wird, was erkennbar kein Mensch ausgelöst hat. Was in der Meldung selbst steht, kommt nie in die Datenbank – das steht unter «Wenn du uns einen Fehler meldest».

5. Suchen ohne Treffer: was gesucht wurde

Findet eine Suche oder ein Preisvergleich nichts, halten wir seit dem 27.9.2026 fest, wonach gesucht wurde. Gespeichert wird: der Zeitpunkt, die Art der Anfrage und die Eingaben – die gesetzten Filter mit ihren Werten und, bei einer Namenssuche, der gesuchte Name. Bei einer Suche mit Treffern wird nichts davon festgehalten.

Wozu. Damit wir Fehler in der Suche finden. «Heute fanden zwölf Suchen nichts» sagt nicht, ob ein Name falsch verarbeitet wurde, ob ein Filter zu viel wegnimmt oder ob das Angebot wirklich fehlt. Genau diese Unterscheidung ist der Zweck, und ein anderer besteht nicht: Wir werten das nicht aus, wir stellen daraus keine Zahlen her und wir geben es niemandem weiter.

Wie lange. 30 Tage. Danach ist die Zeile gelöscht, in der nächsten Nacht, ohne dass jemand etwas tun muss.

Womit es NICHT verbunden ist, und das ist der Kern: mit nichts. Keine Sitzung, keine IP-Adresse, kein Cookie, kein Merkmal deines Geräts, keine Sprache, kein Verweis auf die Seite, von der du kommst, und keine Verbindung zu deinem Konto, falls du eines hast. Die Zeilen stehen auch nicht neben den Tagessummen der Statistik, und es gibt keinen Schlüssel, über den man das eine zum anderen stellen könnte. Zwei Zeilen aus derselben Minute heissen nicht, dass es dieselbe Person war – das können wir nicht wissen und wollen es nicht.

Wer es sieht. Nur wir, im Verwaltungsbereich, und dort nur mit Adminrechten.

Nicht festgehalten wird: das Blättern in einem Ergebnis (das ist dieselbe Suche), eine Anfrage von einer Suchmaschine oder einem anderen Programm, das Vorabladen einer Seite durch deinen Browser – und nichts von dem, was aus unserem eigenen Netz, von einem angemeldeten Verwalter oder von einem Gerät kommt, das wir ausgenommen haben. Es sind dieselben Ausnahmen wie bei der Statistik.

Warum es eine Frist gibt, obwohl der gesuchte Name auf jeder Karte bei uns steht. Weil ein Suchfeld freien Text nimmt. Meistens tippt jemand einen Arbeitsnamen, einen Ort oder ein Wort für eine Dienstleistung; gelegentlich tippt jemand mehr, als er meint. Dagegen wirkt die Frist, dagegen wirkt es, dass diese Zeilen für sich stehen, und dagegen wirkt, dass sie in einer eigenen Tabelle liegen und nicht bei den Zahlen.

6. Wenn du ein Konto anlegst

Ein Konto eröffnest du entweder zum Suchen oder zum Inserieren. Mit einem Konto zum Suchen kannst du Häuser bewerten. Ein Wunschprofil führen und Inserate und Häuser als Favorit merken kann jedes Konto. Zum Suchen, Vergleichen und Lesen brauchst du keines.

Auf deiner Kontoseite kannst du später ankreuzen, dass du auch Sex anbietest, ein Haus betreibst oder Räumlichkeiten vermietest, und diese Kreuze wieder entfernen, solange nichts mehr daran hängt. Das Kreuz «Ich möchte Räumlichkeiten vermieten» gibt genau ein Recht: Räume einzutragen, die du vermietest (siehe «Wenn du Räume anbietest») – kein Inserat und kein Haus. Bewerten und Anbieten schliessen sich aus: Sobald dein Konto etwas anbietet oder Räume vermietet, bewertet es keine Häuser mehr, und das kommt auch nicht zurück, wenn du das Kreuz wieder entfernst. Dein Wunschprofil und deine Favoriten bleiben. Stellst du einen Hausantrag oder wird dir ein Haus zugeordnet, setzen wir das Kreuz «Ich betreibe ein Haus» für dich. Was dabei mit deinen bisherigen Bewertungen geschieht, entscheidest du vorher – siehe «Bewertungen von Häusern».

Gespeichert werden deine E-Mail-Adresse, dein Passwort als scrypt-Hash (nicht das Passwort selbst) und ob du es selbst festgelegt hast, wofür du das Konto eröffnet hast – das bleibt so gespeichert, auch wenn du später andere Kreuze setzt –, was du auf der Kontoseite angekreuzt hast, deine Sprache, wann du es angelegt und bestätigt hast, wann du dich zuletzt angemeldet hast und – falls es dazu kommt – dass und warum es gesperrt wurde.

Registrierung. Auf dem Bildschirm steht immer derselbe Satz, ob die Adresse schon ein Konto hat oder nicht; was zutrifft, steht in einer E-Mail. Bis du den Link darin bestätigst, liegt bei uns eine Vormerkung: Adresse, Passwort-Hash, Sprache, Art des Kontos und der Schlüssel des Links als Hash. Die Vormerkung wird nach 24 Stunden ungültig und gelöscht, sobald danach das nächste Mal jemand ein Konto anlegt. Erst mit deiner Bestätigung entsteht das Konto.

Warum so umständlich: Sonst könnte jemand mit einer einzigen Anfrage herausfinden, ob eine bestimmte Adresse hier ein Konto hat. In dieser Branche stellen diese Frage Ex-Partner, Angehörige und Arbeitgeber.

Angemeldet bleiben. Beim Anmelden entsteht eine Sitzung für höchstens 30 Tage; bei uns steht nur ein Hash ihres Schlüssels. Beim Abmelden ist sie weg. Änderst du dein Passwort, enden alle deine Sitzungen, auch auf anderen Geräten.

Passwort vergessen. Du bekommst einen Link, der 60 Minuten gilt; bei uns steht nur sein Hash. Hat die Adresse kein Konto, geht keine Mail hinaus.

Anmelden mit Google, Apple oder Microsoft. Statt mit E-Mail und Passwort kannst du dich über dein Konto bei Google, Apple oder Microsoft anmelden. Dann erfährt der Anbieter, dass du ein Konto bei rosalon hast, und führt uns bei sich als App, die du benutzt hast. Von ihm übernehmen wir nur deine E-Mail-Adresse – und nur, wenn er sie als bestätigt ausweist – sowie die Kennung, unter der er dich führt. Gibt es zu dieser Adresse schon ein Konto, verknüpfen wir es; sonst legen wir eines an, mit einem Passwort, das niemand kennt – eines legst du auf deiner Kontoseite unter «Anmeldewege» fest oder über «Passwort vergessen?», beides über einen Link an deine Adresse. Bist du angemeldet, kannst du dein Konto dort auch selbst mit einem dieser Anbieter verknüpfen, auch mit einem Konto, das bei ihm eine andere E-Mail-Adresse hat; diese Adresse übernehmen wir dann nicht. Gehört dein Konto beim Anbieter schon zu einem anderen Konto bei uns, verknüpfen wir nicht. Gespeichert wird je Verknüpfung: der Anbieter, seine Kennung für dich und wann verknüpft wurde. Keine Zugangsschlüssel (Tokens), kein Name, kein Bild, kein Zeitpunkt deiner Anmeldungen. Du kannst die Verknüpfung auf deiner Kontoseite lösen, solange dir danach ein Weg in dein Konto bleibt – ein Passwort, das du kennst, oder ein anderer Anbieter; mit deinem Konto wird sie gelöscht. Nach jedem Verknüpfen und Lösen schreiben wir dir eine Mail. Bei Microsoft nehmen wir nur persönliche Konten an, keine Firmen- oder Schulkonten.

7. Wunschprofil: eine gespeicherte Suche

Mit einem Konto kannst du eine Suche speichern – als Wunschprofil, in der Suche mit «Diese Suche abonnieren» oder auf der Seite «Wunschprofile». Gespeichert werden der Name, den du ihm gibst, die Sprache der Mail, wann du es angelegt und zuletzt benutzt hast, ob es Mails schicken soll, und die Filter, die du gewählt hast: Ort (Kantone, Städte oder eine Postleitzahl mit Umkreis – nie dein Standort), Rubrik, Geschlecht, Altersgruppe, Sprachen, Herkunft und Ethnie, Körpermerkmale (Figur, Körpergrösse, Brust, Intimbereich, Haarfarbe, Haarlänge, Augenfarbe, Tattoos, Piercings, Raucher), Services, Kontaktwege, Selbstbeschreibung, Preis pro Stunde, «nur mit Schutz», «Service für» und besondere Vorlieben: «schwanger», «Mutter und Tochter», «Schwestern», «Zwillinge», «Albino», «kleinwüchsig» und «Zahnspange».

Diese Angaben sagen etwas über dich: wonach du suchst – und mit den besonderen Vorlieben, der Ethnie und den Körpermerkmalen etwas aus deiner Intimsphäre. Darum stehen sie nur in deinem Konto, niemand ausser dir sieht sie, und keine Mail nennt sie. Eine Suche nach einem Namen kommt nie in ein Wunschprofil.

Ein Wunschprofil ist freiwillig, und jeden Filter darin setzt du selbst. Angaben über deine Vorlieben können besonders schützenswerte Personendaten sein; wir verwenden sie nur, um dir passende Inserate zu zeigen und die Mail dazu zu schicken, und geben sie niemandem weiter.

Jede Nacht vergleichen wir die neu erfassten Inserate mit deinen Filtern, nach denselben Regeln wie die Suche. Passt etwas, schicken wir höchstens eine Mail pro Nacht und Wunschprofil. Darin stehen der Name, den du dem Wunschprofil gegeben hast, die Zahl der neuen Treffer, bis wann es läuft, und Links – kein Inserat und kein Merkmal. Der Name steht damit auch bei deinem Mailanbieter und bei unserem (siehe «E-Mails von uns»): Wähle ihn so, dass er dich nicht verrät, wenn jemand anderes deine Mails sieht. Abbestellen geht mit einem Klick im Mailprogramm oder über den Link in der Mail; das Wunschprofil bleibt dann und schickt nichts mehr. Damit kein Inserat zweimal kommt, merken wir uns nur, wann wir dir zuletzt geschrieben haben – nicht, welche Inserate es waren. Über den Link in der Mail siehst du die neuen Inserate; wir berechnen sie bei jedem Aufruf neu.

Ein Wunschprofil löschen wir 90 Tage nach der letzten Nutzung von selbst. Als Nutzung zählt, wenn du es öffnest oder änderst oder in einer Mail auf «Behalten» klickst. Du kannst es jederzeit selbst löschen, und mit dem Konto fällt es ohnehin.

8. E-Mails von uns

Wir schicken nur Mails, die zu deinem Konto gehören, und nur sechs Arten, die das Konto selbst betreffen: die Bestätigung einer Registrierung, den Hinweis, dass es zur Adresse schon ein Konto gibt, den Link zum Zurücksetzen des Passworts (auch zum ersten Festlegen), die Nachricht, dass dein Passwort geändert wurde, die Nachricht, dass dein Konto mit Google, Apple oder Microsoft verknüpft wurde, und die, dass eine solche Verknüpfung gelöst wurde – beide mit einem Link zu deiner Kontoseite, falls du das nicht selbst warst. Keine Werbung, kein Newsletter. Dazu kommen sieben weitere, jede nur, wenn du das Entsprechende selbst eingeschaltet oder eingereicht hast: die Nachricht, die dir jemand über das Kontaktformular schreibt (siehe «Das Kontaktformular»); der Bescheid zu einer Veranstaltung, die du selbst eingereicht hast – freigeschaltet oder abgelehnt, bei einer Ablehnung mit Begründung; der Bescheid zu deinem Inserat, sobald wir es geprüft haben – freigeschaltet oder abgelehnt, und die Begründung einer Ablehnung steht nicht in der Mail, sondern in deinem Konto; der Bescheid zu deiner Ausweisprüfung, wenn du einen Ausweis für ein Profil geschickt hast, das nicht gerade zur Prüfung eingereicht ist – nur dass wir entschieden haben, ohne den Ausgang: Ob bestanden oder nicht und den Grund einer Ablehnung liest du in deinem Konto; eine Mail, wenn jemand über das Kontaktformular eine Anfrage zu deinem Raumangebot schickt – mit Art und Gemeinde des Angebots, damit du weisst, welches gemeint ist (siehe «Wenn du Räume anbietest»); ein Bescheid zu deinem Raumangebot, wenn wir es freigegeben oder abgelehnt haben – ohne Inhalt, mit einem Link zur Anmeldung, hinter der bei einer Ablehnung die Begründung steht; und – wenn du ein Wunschprofil führst – die nächtliche Nachricht, dass neue Inserate dazu passen. Darin stehen der Name, den du deinem Wunschprofil gegeben hast, die Zahl der neuen Treffer, bis wann es läuft, und Links – kein Inserat und kein Merkmal. Wähle den Namen so, dass er dich nicht verrät, wenn jemand anderes deine Mails sieht (siehe «Wunschprofil: eine gespeicherte Suche»).

Sobald wir Bezahlangebote eröffnen, kommen Mails zu deinen Bestellungen dazu, nur wenn du etwas bestellt hast: der Hinweis, dass eine Rechnung oder ein Beleg in deinem Konto liegt, und eine Erinnerung, bevor eine Laufzeit endet – ohne Anhang und ohne zu nennen, wofür. Bestellst du einen Marktbericht ohne Konto, schicken wir dir die Rechnung und nach der Zahlung den Link auf den Bericht (siehe «Wenn du bezahlst»).

Der Betreff lautet schlicht «Dein Konto» und nennt rosalon nicht. Absender ist rosalon, Adresse [email protected].

Damit eine Mail ankommt, läuft sie über einen Mailanbieter: green.ch AG, Industriestrasse 33, 5242 Lupfig, Schweiz. Er sieht deine Adresse und damit, dass du mit uns zu tun hast. Bei ihm liegt auch unser Postfach: Was du uns an [email protected] schreibst, liegt dort. Aus Fehlermeldungen des Versands entfernen wir die Adresse, bevor sie irgendwo gespeichert werden.

9. Berichte über Mails in unserem Namen

Grosse Mailanbieter wie Google schicken uns täglich einen Sammelbericht über die Mails, die bei ihnen mit unserer Absenderdomain angekommen sind – auch über solche, die gar nicht von uns stammen. Das ist ein verbreitetes Verfahren gegen gefälschte Absender (DMARC), und wir haben es für unsere Domain eingeschaltet. Ein solcher Bericht enthält keine einzige Mail: keinen Empfänger, keinen Betreff, keinen Text, keinen Anhang. Er nennt die Mailserver, die eingeliefert haben, die Zahl der Mails und ob die Prüfungen aufgingen.

Was wir daraus speichern: je Bericht und einlieferndem Mailserver dessen IP-Adresse, die Zahl der Mails und die beiden Prüfergebnisse – ob der Server in unserem DNS als Absender für unsere Domain eingetragen ist und ob die Mails unsere digitale Unterschrift trugen; dazu, von welchem Anbieter der Bericht stammt und welchen Tag er umfasst. Eine solche Adresse gehört in aller Regel einem Rechenzentrum, etwa unserem eigenen Mailanbieter; gelegentlich kann es der Server einer einzelnen Person sein, zum Beispiel, wenn jemand seine Post automatisch weiterleiten lässt. Je Abruf halten wir ausserdem fest, wann er lief, wie viele Berichte er fand und ob er gelang.

Wozu: um zu merken, wenn jemand unseren Namen als Absender missbraucht, etwa für Spam oder Betrugsmails, und um zu sehen, ob unsere eigenen Mails mit gültiger Unterschrift ankommen. Für beides braucht es den Vergleich mit den Wochen davor: Ob ein Server neu ist oder ob unsere Unterschrift plötzlich fehlt, sieht man nur an dem, was vorher war.

Wie lange: 90 Tage. Danach löschen wir die Berichte samt den Adressen im nächtlichen Lauf, ohne dass jemand etwas tun muss.

Die Adressen erscheinen auf keiner Seite von rosalon, und wir geben sie an niemanden weiter. Fällt etwas auf – ein Server, den wir nicht kennen, verschickt Mails in unserem Namen –, bekommen wir selbst eine Warnung per E-Mail, in der diese Adresse steht. Diese Mail geht an unsere eigene Adresse und wie jede unserer Mails über unseren Mailanbieter (siehe «E-Mails von uns»), sonst an niemanden.

10. Wenn du inserierst: dein Profil

Was du einträgst: Anzeigename, Art (gewerblich oder privat), Kategorie, Geschlecht, Kanton, Ort, Postleitzahl, Telefonnummer, Sprachen, Merkmale, Services, eine Selbstbeschreibung (etwa «Neu in der Gegend»), Titel und Beschreibung, Preise und Bilder, und welches davon dein Titelbild ist. Dazu, freiwillig und einzeln: über welche Wege du erreichbar bist, und für E-Mail, Website oder Telegram die Adresse dazu. Ein Konto kann bis zu fünf Profile führen; mit dem Kreuz «Ich vermittle für andere» ohne Obergrenze. Dazu speichert das System, wann du ein Profil angelegt, geändert und eingereicht hast, welche Prüfstufe es hat und welche Fassung der Bedingungen du wann angenommen hast.

Was öffentlich wird, sobald dein Profil aktiv ist: alles ausser Postleitzahl, Zeitpunkten und Prüfvermerken – also auch deine Telefonnummer. Ohne Anmeldung, unter einer festen Adresse, und für Suchmaschinen auffindbar: Dein Profil steht in unserer Sitemap. Ein Schalter, mit dem du das je Profil abschaltest, ist entschieden, aber noch nicht gebaut.

Eine E-Mail-Adresse, eine Website und einen Telegram-Namen zeigen wir nur, wenn du sie selbst einträgst und daneben ausdrücklich zustimmst, dass sie öffentlich stehen – je Feld einzeln. Ohne diesen Haken speichern wir die Angabe nicht. Einer Website, die du eintragen lässt, sagen wir nicht, woher du kommst. Leerst du ein Feld, ist die Angabe weg, mitsamt der Zustimmung.

Deine Ethnie. Freiwillig kannst du angeben, welcher von sieben Gruppen du dich zuordnest: europäisch, lateinamerikanisch, asiatisch, schwarz, arabisch, indisch oder gemischt. Das ist ein besonders schützenswertes Personendatum (Art. 5 lit. c DSG), und wir bearbeiten es nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 7 lit. a DSG) – mit einem eigenen Haken, nur für diese Angabe, nicht zusammen mit den AGB. Ohne diesen Haken speichern wir sie nicht. Wofür: Wir zeigen sie auf deinem Profil, und wer in der Suche nach dieser Ethnie filtert, findet dein Profil. Mit der Angabe halten wir fest, wann du eingewilligt hast und welcher Fassung des Einwilligungstextes, in welcher Sprache. Du kannst die Einwilligung jederzeit widerrufen, indem du den Haken entfernst und speicherst: Dann löschen wir die Angabe und die Einwilligung sofort, ohne einen Vermerk, dass es sie gab. Die Ethnie ist nicht deine Staatsangehörigkeit; die ist eine eigene Angabe, und wir leiten die eine nie aus der anderen ab. Aus einem übernommenen Inserat übernehmen wir keine Ethnie.

Sag dir das vor dem Absenden: Was hier steht, kann jemand über eine Suchmaschine finden, der nach deinem Anzeigenamen oder deiner Nummer sucht. Was Suchmaschinen einmal kopiert haben, können wir nicht zurückholen. Löschst du ein Profil, antwortet seine Adresse danach mit «gibt es nicht mehr», damit Suchmaschinen es schneller vergessen; erzwingen können wir das nicht.

Damit Suchmaschinen neue oder geänderte öffentliche Seiten schneller finden, teilen wir Microsoft Bing und weiteren Suchmaschinen über das Protokoll IndexNow die Adresse solcher Seiten mit – auch die Adresse deines öffentlichen Profils. Übermittelt wird nur die Adresse der Seite, keine weiteren Angaben und keine Daten über Besucherinnen und Besucher. Die Meldung geht an eine gemeinsame Annahmestelle des Protokolls, die sie an alle beteiligten Suchmaschinen weitergibt. Heute sind das Microsoft Bing (Microsoft Corporation, mit Sitz in den USA), Amazon (Amazon.com, Inc., mit Sitz in den USA), Yandex (Yandex LLC, mit Sitz in Russland), Seznam (Seznam.cz, a.s., mit Sitz in Tschechien), Naver (NAVER Corporation, mit Sitz in Südkorea) und Yep (Ahrefs Pte. Ltd., mit Sitz in Singapur); die Adresse deines Profils geht damit in diese Staaten. Einen angemessenen Datenschutz hat nach der Liste des Bundesrats Tschechien, die USA nur bei Unternehmen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind, wie Microsoft. Russland, Südkorea und Singapur haben keinen angemessenen Datenschutz. In diese Staaten und an Amazon geben wir die Adresse bekannt, weil du sie mit deinem öffentlichen Profil selbst allgemein zugänglich gemacht hast (Art. 17 Abs. 1 lit. e DSG). Damit wir nichts doppelt melden, halten wir je gemeldeter Adresse einen Hashwert und den Stand der Seite fest. Bei Seiten ohne Bezug zu einer Person – Orte, Kantone, Marktzahlen, Häuser – steht die Adresse selbst daneben; die Adresse eines Profils speichern wir dafür nie, nur ihren Hashwert. Steht eine Adresse nicht mehr in unserer Sitemap, melden wir sie ein letztes Mal, damit die Suchmaschinen sehen, dass sich dort etwas geändert hat, und löschen den Eintrag. Pausierst du dein Profil oder wird es gesperrt, geschieht das beim nächsten Lauf, in der Regel in der folgenden Nacht. Löschst du dein Profil, löschen wir den Hashwert sofort und melden die Adresse im selben Augenblick ein letztes Mal an dieselben Suchmaschinen; die Seite antwortet dann mit «gibt es nicht mehr». Wann eine Suchmaschine den Eintrag entfernt, entscheidet sie selbst. Gelingt diese eine Meldung nicht, bemerkt die Suchmaschine es bei ihrem nächsten Besuch.

Willst du nicht, dass wir die Adresse deines Profils melden, entfernst du im Profil den Haken «Suchmaschinen über dein Profil Bescheid geben»; gesetzt ist er von Anfang an. Ab dem nächsten Lauf melden wir keine Adresse dieses Profils mehr, in keiner Sprache, und vergessen auch ihren Hashwert. Ohne den Haken melden wir auch nicht, wenn du dein Profil pausierst oder löschst. Dein Profil bleibt trotzdem öffentlich und steht weiter in unserem Verzeichnis und unserer Sitemap; Suchmaschinen können es dort finden, auch ohne unsere Meldung. Wer auch das nicht will, pausiert sein Profil – dann ist es nicht mehr öffentlich. Eine Adresse, die wir schon gemeldet haben, holt das Entfernen des Hakens nicht zurück: Das Protokoll kennt keinen Widerruf, und was eine Suchmaschine schon erfahren hat, weiss sie.

Nicht öffentlich sind deine E-Mail-Adresse, deine Postleitzahl, deine Entwürfe, der Zeitpunkt deiner letzten Anmeldung und alles zur Prüfung ausser dem Abzeichen. Entwürfe, pausierte, gesperrte und gelöschte Profile sind auch über ihre Adresse nicht abrufbar.

Dein eigenes Inserat übernehmen. Du kannst die Adresse deines Inserats auf einem anderen Portal eingeben. Wir rufen es einmal ab, unter Beachtung der robots.txt des Portals, und zeigen dir eine Vorschau. Erst wenn du bestätigst, übernehmen wir Grunddaten, Merkmale, Titel, Beschreibung, Preise und Services in dein Profil, auf Wunsch auch bis zu zwölf Bilder. Von der Herkunft speichern wir nur den Namen des Portals, nicht die Adresse des Inserats. Ein übernommenes Profil erscheint frühestens nach 48 Stunden, nur mit bestätigtem Konto, und bis zu seiner Prüfung nicht in Suchmaschinen.

Titel und Beschreibung übersetzen wir maschinell in die vier Sprachen der Seite, auf unserem eigenen Gerät. Kein Text verlässt dafür unser Gerät, kein fremder Dienst sieht ihn. Sätze zu Schutz, Praktiken oder Preisen übersetzen wir nicht; sie erscheinen in der Übersetzung im Original. Die Übersetzung steht auf deiner Profilseite als «maschinell übersetzt» gekennzeichnet, dein Original immer daneben. Änderst du deinen Text, löschen wir die alten Übersetzungen sofort und übersetzen neu; löschst du den Text oder dein Profil, sind sie mit weg. Im Profil kannst du «Text automatisch übersetzen» abschalten – dann löschen wir die vorhandenen Übersetzungen, und es entstehen keine neuen. Gebaut ist das, eingeschaltet noch nicht: Der Schalter steht in deinem Profilformular, aber heute übersetzen wir nichts, und deine Profilseite zeigt nur dein Original. Bevor wir einschalten, steht es hier mit Datum.

Angaben in einem Inserat für erotische Dienstleistungen betreffen die Intimsphäre und sind besonders schützenswerte Personendaten (Art. 5 lit. c DSG). Wir bearbeiten sie, weil du ausdrücklich einwilligst und weil du mit uns einen Vertrag über das Inserat eingehst. Deine Einwilligung kannst du jederzeit widerrufen, indem du das Profil löschst.

11. Wenn jemand ein Profil für dich anlegt – oder du für andere

Wer auf rosalon für andere inseriert – als Managerin oder Manager, als Agentur oder als Haus –, gibt uns vorher Namen oder Firma und eine Telefonnummer an, freiwillig auch die UID der Firma. Dazu speichern wir, wann und in welcher Fassung die Bedingungen für Vertretende angenommen wurden. Öffentlich steht davon nichts, auch nicht am Profil. Wir brauchen die Angaben, um diese Person zu erreichen, wenn uns bei ihrem Konto etwas auffällt. Diese Angaben bleiben, bis sie geändert oder mit dem Konto gelöscht werden.

Legt jemand ein Profil für dich an, hat er die Angaben darauf eingetragen und ist für sie verantwortlich; für dein Profil gilt sonst alles aus dem Abschnitt davor. Sichtbar wird es erst, wenn du selbst bestätigst, über deinen eigenen Link. Vom Link speichern wir nur einen Hashwert, nicht den Link selbst, dazu wann er erzeugt wurde, bis wann er gilt und in welcher Sprache er sich öffnet. Öffnest du ihn, nehmen wir den Schlüssel aus der Adresse und legen ihn für höchstens 20 Minuten in ein Cookie zustimmung, das nur der Server lesen kann. Der Link gilt einmal und höchstens sieben Tage.

Bestätigst du, speichern wir, wann, welchem Wortlaut der Bestätigung (Fassung) und in welcher Sprache, und dass du erklärt hast, mindestens 18 Jahre alt zu sein. Von welchem Gerät oder aus welchem Netz du bestätigt hast, speichern wir nicht. Damit uns trotzdem auffällt, wenn viele Bestätigungen für dasselbe Konto aus demselben Netz kommen, bilden wir aus deiner IP-Adresse im Arbeitsspeicher einen Prüfwert mit einem Schlüssel, der jeden Tag neu entsteht und nirgends gespeichert wird. In der Datenbank steht danach höchstens ein Vermerk am Konto der Person, die für dich inseriert, ohne Adresse und ohne Prüfwert. Nach einem Neustart unseres Servers ist der Prüfwert weg.

Wählst du auf dieser Seite Services ab, löschen wir sie aus dem Profil. Tippst du «Nein, das bin ich nicht», «Die Preise stimmen nicht» oder «Ich brauche Hilfe», speichern wir nur den Zeitpunkt; das Profil erscheint dann nicht, und bei «Ich brauche Hilfe» sieht es sich ein Mensch bei uns an. Der Person, die für dich inseriert, zeigen wir in allen diesen Fällen nur «nicht bestätigt» oder «wartet auf Prüfung», wie bei jedem anderen Grund.

Mit der Bestätigung bekommst du einen eigenen Code. Wir zeigen ihn ein einziges Mal und speichern ihn nur als Hashwert. Mit ihm und dem Namen auf deinem Profil meldest du dich ohne Konto an, siehst die Zahlen deines Profils, schaltest es aus oder wieder ein oder löschst es – die Person, die für dich inseriert, kann das nicht rückgängig machen. Dort zeigst du auch deinen Ausweis, wenn du das Zeichen „Ausweis gesehen“ willst oder dein Name oder ein Titel sehr jung klingt; es gilt alles aus «Prüfung und Abzeichen», mit zwei Unterschieden: Wir schicken dir dazu keine E-Mail, den Bescheid liest du in deinem Zugang. Und die Person, die für dich inseriert, sieht nie das Bild und nie eine Begründung, nur ob dein Ausweis auf die Prüfung wartet oder gesehen ist. Die Anmeldung hält höchstens 30 Minuten, in einem Cookie eigenzugang, das nur der Server lesen kann; beim Abmelden ist es weg. Erneuerst du den Code, gilt der alte nicht mehr.

Deine Bestätigung ist deine ausdrückliche Einwilligung (Art. 6 Abs. 7 lit. a DSG) in die Bearbeitung der Angaben und Bilder auf diesem Profil. Du widerrufst sie, indem du das Profil mit deinem Code löschst oder auf der Profilseite «Das bin ich – bitte entfernen» drückst; mit dem Knopf verschwindet das Profil sofort, bis wir die Sache geprüft haben. Der Nachweis deiner Bestätigung, der Hashwert deines Codes und die Zeitpunkte deiner Antworten bleiben, solange das Profil besteht, und werden mit ihm gelöscht.

Zu deinem Profil sehen du und die Person, die für dich inseriert, dieselben Zahlen: Aufrufe und Klicks auf die Kontaktwege, je Tag, nie wer geschaut hat. Dieselben Zahlen sehen auch wir, im Verwaltungsbereich und dort nur mit Adminrechten.

12. Bilder

Jedes Bild, das du hochlädst oder aus deinem Inserat übernimmst, rechnen wir neu und werfen das Original weg. Dabei gehen alle Metadaten verloren, auch Kamera, Aufnahmezeit und Aufnahmeort; das Programm prüft danach, dass keine übrig sind.

Zu jedem Bild speichern wir eine Prüfsumme und einen Bildabdruck, der ähnliche Bilder erkennt. Er beschreibt das ganze Bild, kein Gesicht. Damit fallen Bilder auf, die schon bei einem anderen Profil liegen: Die halten wir zurück, bis wir sie angesehen haben. Bevor ein Profil zum ersten Mal erscheint, sieht es sich jemand von uns an, mit allen Angaben und Bildern. Bilder und Änderungen danach erscheinen ohne erneute Prüfung, auch wenn du dein Profil nach einer Pause wieder sichtbar schaltest; wir können sie jederzeit prüfen und entfernen.

Öffentlich ausgeliefert wird ein Bild nur, solange dein Profil aktiv ist; ein Bild hinter der Altersabfrage mit der Anweisung an Suchmaschinen, es nicht aufzunehmen. Die Dateien liegen auf unserem Gerät unter zufälligen Namen, dort unverschlüsselt; gesichert werden sie seit dem 7. Oktober 2026 jede Nacht, nur verschlüsselt (siehe «Schutz und Sicherungen»). Löschst du ein Bild, ein Profil oder dein Konto, löschen wir die Dateien mit; in den Sicherungen stehen sie noch, bis diese überschrieben sind, höchstens rund zwei Wochen.

Offen zeigbare Bilder und das Titelbild. Zeigt ein Bild weder Geschlechtsteile noch sexuelle Handlungen – etwa angezogen, in Dessous, auch durchscheinenden, oder von hinten –, kann jemand von uns es als offen zeigbar einstufen. Dann steht es ohne Altersabfrage auf deinem Profil und als kleines Vorschaubild in deiner Kachel in der Suche, für alle sichtbar, und Suchmaschinen dürfen es aufnehmen – ausser dein Profil steht selbst nicht in Suchmaschinen, etwa ein übernommenes Profil bis zu seiner Prüfung. Was eine Suchmaschine einmal aufgenommen hat, holt ein Löschen bei uns nicht sicher zurück. Jedes andere Bild zeigen wir erst nach der Bestätigung, mindestens 18 zu sein, auch jedes, das noch niemand eingestuft hat; ohne diese Bestätigung liefern wir es nicht aus, auch nicht an Suchmaschinen. Die Einstufung können wir jederzeit ändern; ein Bild, das du neu hochlädst oder dessen Datei sich ändert, ist zunächst nicht eingestuft. Als Titelbild wählst du eines deiner Bilder: Ist es offen eingestuft, steht es zuerst in deiner Kachel, sonst das erste offene Bild deines Profils; hat dein Profil keines, zeigt die Kachel statt eines Bildes den Hinweis «18+ Bilder im Profil». Zu jedem Bild speichern wir unsere Einstufung – offen oder nicht, wann und durch wen –, bei einem Nein zum Titelbild den Grund, den du in deinem Bereich liest, bei anderen Bildern einen Grund nur, wenn wir einen angeben; dazu, ob und wann du ein Bild als Titelbild gewählt hast. Das alles verschwindet mit dem Bild, dem Profil oder dem Konto. Ein offenes Bild darf Cloudflare bis zu fünf Minuten zwischenspeichern; so lange kann es dort noch abrufbar sein, nachdem du es gelöscht, dein Profil pausiert oder gelöscht hast oder wir es anders eingestuft haben. Ein Bild hinter der Altersabfrage geben wir Cloudflare nie zum Zwischenspeichern frei. Unsere robots.txt sperrt nur noch die Adressen der Titelbilder.

13. Das Kontaktformular

Wenn du inserierst, kannst du ein Kontaktformular einschalten – für alle, die dir schreiben möchten, ohne WhatsApp oder Telefon. Du hinterlegst dafür eine E-Mail-Adresse, an die wir Nachrichten weiterleiten. Diese Adresse wird nie öffentlich – sie steht nicht auf deinem Profil, nicht in der weitergeleiteten Mail und in keiner Ansicht, die jemand aufrufen kann. Abschalten kannst du das Formular jederzeit, und dann löschen wir die Adresse mit.

Wer dir schreibt, gibt einen Namen oder ein Pseudonym an, eine Antwortadresse (E-Mail oder Telefonnummer) und den Text. Daraus wird eine einzige E-Mail an dich, mit der Antwortadresse als «Antwort an». Danach ist der Text weg: Wir speichern ihn nicht – nicht in der Datenbank, nicht in einem Protokoll, nirgends. Diese eine Mail ist die einzige Fassung. Es gibt kein Postfach auf rosalon und keinen Nachrichtenverlauf.

Was bleibt, ist eine Zahl: wie viele Nachrichten dein Profil an einem Tag bekommen hat – damit niemand ein Postfach zuschütten kann. Zusätzlich zählen wir im Arbeitsspeicher, wie viele Nachrichten von einer Absenderadresse an einem Tag kommen – unter einem Wert, der um Mitternacht mitsamt seinem Schlüssel vernichtet wird. In die Datenbank kommt davon keine Adresse, auch nicht als Hashwert.

Damit das Formular nicht zum Versandweg für Werbung wird, ist es gebremst – ohne fremden Dienst und ohne Angaben über dich.

14. Wenn du Räume anbietest

Wenn du Räume anbietest, speichern wir Art, Gemeinde, Miete, Verfügbarkeit, deine Beschreibung und die Adresse, an die wir Anfragen weiterleiten, dazu, wann du zugestimmt hast, Anfragen über das Formular zu bekommen. Eine Strasse, eine Hausnummer oder eine Telefonnummer nehmen wir nicht an. Öffentlich erscheinen nach unserer Prüfung Art, Gemeinde und damit der Kanton, Miete, Verfügbarkeit und Beschreibung, nie deine Adresse und nie, zu welchem Konto das Angebot gehört.

Schreibt dir jemand über das Kontaktformular, leiten wir die Nachricht per E-Mail an dich weiter und speichern ihren Text nicht; es bleibt nur eine Zahl je Angebot und Tag. Wer schreibt, gibt dafür dieselben Angaben an wie beim Kontaktformular eines Profils (siehe «Das Kontaktformular»), und seine Antwortadresse steht in der Mail an dich.

Deine Bestätigung zu den kantonalen Pflichten speichern wir mit Zeitpunkt, ebenso wann du beim Einreichen die AGB angenommen hast und in welcher Fassung, und wer dein Angebot geprüft hat und mit welcher Begründung. Änderst du Art, Gemeinde, Beschreibung oder die Adresse für Anfragen, prüfen wir das Angebot neu, und deine Bestätigung zu den Pflichten fällt weg, bis du sie für die neue Fassung wieder abgibst. Löschst du ein Angebot oder dein Konto, ist alles weg; in den Sicherungen steht es noch, bis sie überschrieben sind (siehe «Schutz und Sicherungen»).

15. Wenn du bezahlst

Bezahlangebote gibt es erst, wenn wir sie eröffnen; wir kündigen es in den AGB und per Mail an. Für jede Bestellung gilt dann, was hier steht.

Was wir speichern: die Bestellung – was du bestellt hast, für welches Profil, welchen Betrieb oder welches Raumangebot, bei einer Hervorhebung für welchen Kanton, welche Kategorie und welche Wochen, dazu Laufzeit, Betrag und Zeitpunkt –, die Rechnung und den Beleg mit ihrer Nummer, deine Kundennummer, den Betrag, das Datum, den Zahlungsweg (Bank oder TWINT) und die Zahlungsreferenz, mit der wir eine Zahlung deiner Rechnung zuordnen. Name und Adresse stehen nur auf einem Beleg, wenn du sie selbst angibst; sonst steht dort nur deine Kundennummer.

Was wir nie speichern: deine IBAN, den Namen und die Adresse, unter denen deine Bank die Zahlung schickt, eine Kartennummer und deine TWINT-Nummer. Die Gutschriftsanzeige unserer Bank enthält einiges davon; das Programm, das sie liest, verwirft es, bevor etwas gespeichert wird. Auf dem Kontoauszug unserer Bank stehen diese Angaben trotzdem, und den bewahren wir als Buchungsbeleg auf, getrennt von den übrigen Daten von rosalon.

Was auf dem Beleg steht: unsere Firma, deine Kundennummer, eine neutrale Bezeichnung der Leistung, der Zeitraum und der Betrag – kein Profilname, keine Kategorie, kein Ort. Auf deinem Bankauszug und in der TWINT-App stehen als Empfänger unser Firmenname, in dem rosalon nicht vorkommt, und als Mitteilung «Online-Dienst» mit der Belegnummer; was deine Bank davon anzeigt, bestimmt sie.

Rechnung und Beleg liegen in deinem Konto, zum Ansehen und Drucken. Per Mail schicken wir nur einen Hinweis darauf, ohne Anhang (siehe «E-Mails von uns»).

Wer es sieht: unsere Bank, über die deine Zahlung läuft, und, wenn du in der TWINT-App bezahlst, die TWINT Acquiring AG, die ihre Abwicklung als eigene Verantwortliche bearbeitet, nach ihrer eigenen Datenschutzerklärung. Beide erfahren, dass du an uns zahlst, wie viel und mit welcher Referenz – nicht, wofür.

Wie lange: Rechnungen, Belege und Zahlungseingänge bewahren wir zehn Jahre nach Ablauf des Geschäftsjahres auf, ebenso die Kontoauszüge; das verlangt das Gesetz für Buchungsbelege (Art. 958f OR), und es geht hier deinem Wunsch nach Löschung vor. Die Bestellungen bleiben so lange wie ihr Beleg. Wird ein Profil, ein Raumangebot oder ein Betrieb gelöscht, fällt bei den Bestellungen der Bezug darauf. Löschst du dein Konto, fällt die Verbindung zwischen ihm und deinen Bestellungen und Belegen; danach steht dort nur noch die Kundennummer, und wir können sie niemandem mehr zuordnen. Name und Adresse, die du auf einen Beleg hast setzen lassen, bleiben auf ihm für die zehn Jahre.

Eine Hervorhebung ist öffentlich: Wer das Band in der Suche sieht, sieht, dass für dieses Profil bezahlt wurde – nicht von wem und nicht, wie viel. Führt jemand dein Profil als Vertretung, siehst du jede Hervorhebung deines Profils in deinem eigenen Zugang, stimmst dort zu oder beendest sie. Die Zeile einer Hervorhebung fällt mit dem Profil; Bestellung und Beleg bleiben wie oben.

Bestellst du einen Marktbericht ohne Konto, brauchen wir nur eine Mailadresse, und wir verwenden sie für zwei Dinge: die Rechnung und den Link auf den Bericht, den wir nach dem Zahlungseingang schicken und der nach einer Frist abläuft. Die Mailadresse löschen wir nach der Lieferung oder, wenn die Bestellung unbezahlt verfällt, danach; auf dem Beleg steht nur eine Kundennummer.

16. Wenn du bei uns wirbst

Auf der Seite «Werben» kannst du eine Werbung bei uns anfragen. Was du dort angibst – die Firma oder den Namen, unter dem du wirbst, eine Ansprechperson, deine Mailadresse, freiwillig eine Telefonnummer, Branche, gewünschte Fläche, Ort, Zeitraum und deine Nachricht –, speichern wir, um dir zu antworten und eine Werbung mit dir zu vereinbaren. Sehen können es nur wir, im Verwaltungsbereich; die Mail, die uns auf eine neue Anfrage hinweist, nennt nur Branche und Fläche. Wir schreiben dir keine Werbung und geben deine Angaben an niemanden weiter.

Wie lange: Die Anfrage löschen wir zwei Jahre nach ihrem Eingang; ist daraus eine Werbung entstanden, zwei Jahre nach deren Ende. Willst du sie früher weg haben, schreib uns – dann löschen wir sie sofort. Die Werbung selbst – der Name, unter dem du wirbst, Titel, Satz, Link, Fläche, Zeitraum und was wir vereinbart haben – bewahren wir zehn Jahre nach ihrem Ende auf, als Beleg dafür, was vereinbart und geliefert wurde. Ist sie bezahlt, gilt für Rechnung und Beleg, was unter «Wenn du bezahlst» steht.

Öffentlich ist nur die Werbung selbst, solange sie läuft: der Name, unter dem du wirbst, Titel, Satz und Link, immer mit der Beschriftung «Werbung · Name». Zu sehen ist sie auf der Startseite, auf Ortsseiten oder in den Suchresultaten, nie auf der Seite eines Profils.

Was wir über eine Werbung zählen: wie oft sie gezeigt und wie oft sie angeklickt wurde, je Werbung und Tag als Summe – nicht mehr. Dafür setzen wir kein Cookie und halten weder IP-Adresse noch Gerät, Land, Uhrzeit oder Seite fest, auch nicht über die Menschen, die eine Werbung sehen oder anklicken. Roboter zählen nicht mit, und wer «Diesen Browser nicht mitzählen» gewählt hat, auch nicht. Der Klick auf eine Werbung geht über eine Adresse bei uns, die ihn zählt und dann ohne Referer zur Website weiterleitet; die Website erfährt nicht, von welcher unserer Seiten du kommst. Diese Zahlen sehen wir, und auf Anfrage der Auftraggeber seiner eigenen Werbung.

17. Wenn du uns einen Fehler meldest

Oben auf jeder Seite steht «Fehler melden». Das Formular dahinter schickt uns eine einzige E-Mail: deinen Text, die Seite, auf der du warst, und ihre Sprache. Eine Adresse für eine Rückfrage ist freiwillig – ohne sie kannst du genauso melden.

Von der Seite geht nur der Pfad mit, nie der Teil hinter dem Fragezeichen: Was du gesucht oder gefiltert hast, erfahren wir dadurch nicht. Keine IP-Adresse, kein Gerätemerkmal, kein Cookie.

In die Datenbank kommt von deiner Meldung nichts – kein Text, keine Adresse, nicht die Seite, auf der du warst. Diese eine Mail ist die einzige Fassung.

Was bleibt, ist eine Tagessumme darüber, wie eine Meldung ausgegangen ist: abgeschickt, beim Versand gescheitert oder vom Formular abgewiesen. Mehr steht in dieser Zahl nicht – keines der drei Wörter sagt etwas über dich oder über den Inhalt deiner Meldung. Seit dem 29.9.2026, und aus einem Grund: Vorher liess sich nicht feststellen, ob je eine Meldung ankam. Geht der Versand schief, ist sie sonst spurlos weg – niemand merkt es, wir nicht und du nicht. Wie gezählt wird, steht unter «Statistik: zählen und festhalten, ohne dich zu kennen». Dass die Seite «Fehler melden» aufgerufen wurde, zählen wir wie bei jeder Seite.

Auch dieses Formular ist gebremst – ohne fremden Dienst und ohne Angaben über dich.

18. Prüfung und Abzeichen

Wenn wir deinen Ausweis prüfen, sehen wir ihn von Hand an und vergleichen ihn mit einem Selfie, das du uns zeigst: ob die Person volljährig ist, ob das Dokument echt wirkt und ob es dieselbe Person ist.

Gespeichert wird: welches Profil, welches Verfahren (Telefon, Ausweis oder Video), wann, durch wen, bestanden oder nicht, und ein kurzer Vermerk ohne längere Ziffernfolgen. Nach einer bestandenen Ausweis- oder Videoprüfung dazu der Tag, an dem die Volljährigkeit bestätigt wurde – nicht dein Geburtsdatum.

Wie dein Ausweis zu uns kommt: Du fotografierst ihn und schickst ihn über deinen Anbieterbereich. Führt jemand dein Profil für dich, schickst du ihn selbst, über deinen eigenen Zugang mit deinem Code – nie über das Konto der Person, die für dich inseriert. Wir nehmen ihn nur mit deiner ausdrücklichen Zustimmung entgegen, und nur für diese eine Prüfung. Über einen Messenger oder per E-Mail nehmen wir keinen Ausweis an.

Solange dein Bild bei uns liegt: verschlüsselt, getrennt von deinen Profilbildern, unter keiner Adresse, die jemand erraten kann, und in keiner Sicherung. Ansehen kann es nur, wer prüfen darf. Der Schlüssel liegt nicht bei der Datei – aber auf demselben Gerät; wer das ganze Gerät hätte, hätte beides. Deshalb die kurze Frist.

Wann: Zusammen mit deinem Inserat, wenn du es zur Prüfung einreichst – oder jederzeit für sich, auch für ein Profil, das schon sichtbar oder pausiert ist. Dein Profil bleibt dabei, wie es ist; die Prüfung ändert nur das Zeichen „Ausweis gesehen“.

Wie lange: bis zum Entscheid – mit einem Inserat freigeschaltet oder abgelehnt, für sich bestanden oder abgelehnt – und in jedem Fall höchstens drei Tage. Die Frist läuft von selbst ab, auch wenn niemand hineingesehen hat, und sie lässt sich nicht verlängern. Du kannst das Bild jederzeit selbst zurückziehen; dann ist es sofort gelöscht.

Was danach bleibt: nur der Eintrag oben – geprüft am, durch wen, mit welchem Verfahren, bestanden oder nicht. Nicht gespeichert, an keiner Stelle: das Bild, die Ausweisnummer, dein Geburtsdatum, dein Name aus dem Dokument, ein Auszug daraus oder ein Bildabdruck, mit dem sich das Foto wiederfinden liesse.

Die Freischaltung. Reichst du ein Profil ein, sieht es eine Prüferin oder ein Prüfer von uns an – mit allen Angaben und Bildern, solange es auf die Prüfung wartet – und schaltet es frei oder lehnt es ab. Festgehalten wird, welches Konto entschieden hat, wann, und bei einer Ablehnung der Grund. Dasselbe gilt für eine Ausweisprüfung für sich: bestanden oder abgelehnt, durch wen, wann, bei einer Ablehnung der Grund; dafür sieht die prüfende Person auch die Bilder deines Profils, solange der Ausweis auf die Prüfung wartet. Diese Einträge verschwinden mit dem Profil; wird das Konto der prüfenden Person gelöscht, bleiben sie ohne Bezug zu ihr.

19. Bewertungen von Häusern

Mit einem Konto zum Suchen kannst du ein Haus bewerten: Sterne von 1 bis 5 und auf Wunsch ein Text. Gespeichert werden Haus, Konto, Sterne, Text, Sprache und Zeitpunkte. Deine Bewertung trägt nur diese zwei Verweise – auf das Haus und auf dein Konto –, keine Gerätekennung und keine Verbindung zu dem, was du gesucht hast.

Kreuzt du auf der Kontoseite an, dass du Sex anbietest, ein Haus betreibst oder Räumlichkeiten vermietest, und hast du schon Bewertungen geschrieben, fragen wir dich vorher, was mit ihnen geschehen soll. Du wählst eines von beiden:

• Vorher löschen: Deine Bewertungen sind sofort gelöscht, mit Sternen, Text und den Antworten der Häuser darauf.
• Stehen lassen: Die Bewertungen bleiben mit Haus, Sternen, Text, Sprache und Zeitpunkten stehen und zählen weiter. Gelöscht wird nur der Verweis auf dein Konto – wir sagen dazu: Die Bewertung ist gelöst. Einen Vermerk, wann oder von welchem Konto eine Bewertung gelöst wurde, legen wir nicht an. In unserer Datenbank führt danach nichts mehr von einer solchen Bewertung zu dir; in deinem Konto steht sie nicht mehr, du kannst sie weder ändern noch löschen, und sie fällt nicht mit deinem Konto, sondern verfällt nach zwölf Monaten wie jede andere. Was du in den Text geschrieben hast, bleibt so stehen, wie wir es freigegeben haben.

Die Wahl gilt endgültig: Eine gelöste Bewertung bekommt kein Konto zurück, und bewerten kann dein Konto danach nicht mehr, auch wenn du das Kreuz wieder entfernst. In den Sicherungen, die vor deiner Wahl entstanden sind, stehen die Bewertungen noch mit dem Verweis auf dein Konto, bis diese Stände überschrieben sind – höchstens rund zwei Wochen (siehe «Schutz und Sicherungen»).

Öffentlich erscheint die Bewertung ohne deine E-Mail-Adresse. Die Sterne zählen sofort, der Text erscheint erst, wenn wir ihn freigegeben haben. Eine Note zeigen wir erst ab fünf Bewertungen, und nie bei einem Betrieb, hinter dem faktisch eine einzelne Person steht. Bewertet werden Häuser, nicht Menschen.

Wer über ein Haus schreibt, sagt damit, dass er dort war. Das ist die heikelste Angabe, die auf rosalon über dich entstehen kann. Deshalb ist sie befristet: Nach zwölf Monaten erscheint eine Bewertung nicht mehr und wird im nächsten nächtlichen Lauf gelöscht. Früher, wenn du dein Konto löschst oder es uns schreibst, solange sie an deinem Konto hängt; eine gelöste Bewertung hängt an keinem Konto mehr und verfällt nach den zwölf Monaten.

Es gibt auf rosalon keine Buchungen und keine Zahlungen. Wir haben nie eine Kartennummer gesehen. Nachrichten zwischen Kundschaft und Anbietenden gibt es nur als einmalige Weiterleitung über das Kontaktformular (siehe oben) – kein Postfach, kein Verlauf.

20. Meldungen

Melden geht ohne Konto. Gespeichert werden: was gemeldet wurde (ein Profil, eine Karte zu einem fremden Inserat, eine Bewertung oder eine Frau auf der Seite eines Hauses), der Grund, deine Beschreibung und eine Kontaktangabe, falls du sie hinterlässt, die Sprache und der Zeitpunkt. Die Beschreibung ist freiwillig, ausser du meldest Zwang oder wählst «Anderer Grund»: Dann brauchen wir sie, weil wir ohne konkrete Anhaltspunkte nicht entscheiden können. Mit einem Konto verbinden wir die Meldung nicht.

Ein gemeldetes Profil nehmen wir sofort vom Netz – ausser die Meldung betrifft Zwang, Betrug oder ein Gewerbe, das sich als privat ausgibt, oder sie nennt «Anderer Grund»; dann sehen wir zuerst hin, und das Profil bleibt sichtbar, bis wir entschieden haben. Eine gemeldete Bewertung verbergen wir sofort. Entschieden wird innert 48 Stunden.

Nimmt sich eine Frau von der Seite eines Hauses heraus („Das bin ich, bitte entfernen“), gibt es keinen Grund zur Auswahl, keine Beschreibung und keine Kontaktangabe; die Meldung nennt das Haus, nicht die Frau. Damit niemand eine Hausseite leeren kann, ist auch dieser Weg gebremst; greift die Bremse, sagt die Seite es. Gezählt wird dafür nur im Arbeitsspeicher, unter einem Wert, der um Mitternacht vernichtet wird, nicht in der Datenbank.

Die Kontaktangabe steht im Klartext bei der Meldung, damit wir dich erreichen können. Gelöscht wird sie 90 Tage nach Abschluss der Bearbeitung, und nur sie: Die Meldung selbst – was gemeldet wurde, der Grund, deine Beschreibung und unser Entscheid – bleibt als Nachweis bestehen, auch wenn das gemeldete Profil oder die gemeldete Bewertung gelöscht wird.

Bei Verdacht auf Minderjährigkeit oder Zwang kann eine Meldung an eine Behörde oder eine Fachstelle gehen. Wie das im Einzelnen abläuft, legen wir mit einer Fachstelle fest und schreiben es dann hierhin.

21. Wenn dein Inserat auf einem anderen Portal steht

Dieser Abschnitt betrifft Menschen, die hier kein Konto haben. Wir lesen öffentlich einsehbare Inserate anderer Portale, um den Schweizer Markt zu messen und in Suche und Zusammenzug auf die Originale zu verweisen.

Was wir aus einem fremden Inserat speichern:

• Portal, Adresse des Inserats, Kanton, Ort und Gemeinde, die Kantone, die es als Einsatzgebiet nennt, Kategorie, Typ, Geschlecht, Sprachen, Preis und Aufpreise für einzelne Services, ob das Portal es als verifiziert führt, und wann wir es zuerst und zuletzt gesehen haben;
• die Services, die das Portal als Liste führt oder die im Anzeigentext stehen, übersetzt in die Kennungen unseres Vokabulars, ohne den Text;
• die Kontaktwege – nur ob Telefon, SMS, WhatsApp, Telegram, E-Mail oder ein Formular angeboten wird, nie die Nummer oder Adresse;
• den Arbeitsnamen, den das Portal als Namen führt, bereinigt: nur Buchstaben, keine Ziffern, kein @;
• das Alter aus dem Altersfeld des Portals als Zahl, und die Merkmale, die das Portal als Feld oder Rubrik führt, etwa Grösse, Figur, Haar- und Augenfarbe, Herkunftsland oder ob jemand raucht;
• zwei Angaben, die besonders schützenswert sind (Art. 5 lit. c DSG), aus der Rubrik des Portals oder aus dem Anzeigentext (gespeichert wird nur die Angabe, nie der Text): ob das Inserat jemanden als schwanger beschreibt – das ist eine Angabe über die Gesundheit und spätestens 180 Tage nach der ersten Sichtung gelöscht, auch wenn das Inserat weiter steht – und ob es «nur mit Schutz» angibt, eine Angabe über das Sexualleben. «Schwanger» steht auf der Karte nur, wenn in der Suche danach gefiltert wird, und fasst die Karte mehrere Inserate zusammen, dann mit dem Hinweis, in welchem davon es steht; in der Suche lässt sich nach beiden filtern, und für «schwanger» zählt eine eigene Seite, wie viele Inserate es je Kanton angeben – nie welche;
• ob sich das Inserat selbst «Mutter und Tochter», «Schwestern» oder «Zwillinge» nennt, aus dem Anzeigentext oder aus dem Titel, wie er in der Adresse des Inserats steht: gespeichert wird nur dieses Wort, nie der Text – eine Verwandtschaft prüfen wir nicht. Auf der Karte steht es nur, wenn in der Suche danach gefiltert wird, und fasst die Karte mehrere Inserate zusammen, dann mit dem Hinweis, in welchem davon es steht; in der Suche lässt sich danach filtern, und eigene Seiten zählen, wie viele Inserate sich je Kanton so nennen;
• ob sich das Inserat selbst als Albino oder als kleinwüchsig bezeichnet oder angibt, eine Zahnspange zu tragen – Angaben über die Gesundheit, die besonders schützenswert sind (Art. 5 lit. c DSG) –, aus einem Feld des Portals oder aus dem Anzeigentext: gespeichert wird nur «Albino», «kleinwüchsig» oder «Zahnspange», nie der Text; aus einer Körpergrösse leiten wir nichts ab, und geprüft wird die Angabe nicht. Auf der Karte steht sie nur, wenn in der Suche danach gefiltert wird, und fasst die Karte mehrere Inserate zusammen, dann mit dem Hinweis, in welchem davon sie steht; in der Suche lässt sich danach filtern, und eigene Seiten zählen, wie viele Inserate es je Kanton angeben – nie welche;
• statt eines Alters eine Altersspanne, wenn das Portal nur eine Spanne nennt, etwa «27–30»;
• wo das Portal am Inserat eine Aufrufzahl zeigt («123 mal angesehen»), diese Zahl und wann wir sie abgelesen haben – höchstens eine je Tag, keinen Text dazu. Wir werten sie nur zusammengefasst aus, je Portal, Kanton und Kategorie, nie für ein einzelnes Inserat, und zeigen sie nirgends öffentlich;
• aus der Telefonnummer einen Kontaktschlüssel (siehe unten), dazu das Land und ob es eine Mobil- oder Festnetznummer ist;
• ob das Inserat zu einem Haus gehört, das wir führen, und zu welchem (siehe «Die Zuordnung zu einem Haus»);
• bei einem Inserat, mit dem jemand einen Raum für Sexarbeit vermietet: die Art des Raums (Zimmer, Studio, Salonplatz oder Wohnung), die Miete je Tag, Woche oder Monat, ab wann er frei ist und woran wir es als Raum-Inserat erkannt haben – nie die Adresse des Raums.

Was wir nie speichern: die Telefonnummer im Klartext, Fotos, Anzeigentexte, Strasse und Hausnummer. Den Anzeigentext lesen wir nur, um Services, Preis und Aufpreise herauszuziehen und bei Raum-Inseraten Art, Miete und ab wann der Raum frei ist, dazu die Angaben «schwanger» und «nur mit Schutz» und ob sich das Inserat «Mutter und Tochter», «Schwestern» oder «Zwillinge» nennt, sich als Albino oder kleinwüchsig bezeichnet oder eine Zahnspange angibt; er bleibt im Arbeitsspeicher, bis das heraus ist, und wird dann verworfen.

Was davon öffentlich erscheint: Ort, Kategorie, Geschlecht, Sprachen, Preis, der Arbeitsname, die Altersgruppe oder die Spanne, die das Inserat nennt – nie ein Alter als Zahl –, die Services und Kontaktwege laut Portal, bei Escort-Inseraten das Einsatzgebiet, die Körpermerkmale, die das Portal selbst als Feld führt, der Verweis auf das Original und, gehört das Inserat zu einem Haus, ein Knopf zur Seite dieses Hauses. Jede dieser Angaben trägt den Zusatz «laut Inserat»; leere Felder zeigen wir nicht. Aus dem Anzeigentext stammen nur Preise und Services: Services, die nur im Text stehen, zeigen wir getrennt und mit dem Zusatz «aus dem Text», und im Preisvergleich nennt jede Zahl ihre Quelle, auch «aus dem Inseratstext». Namen, Alter und Körpermerkmale ergänzen wir nie aus dem Anzeigentext. Herkunftsland und Ethnie leiten wir nie auseinander ab. In der Suche lässt sich nach den Merkmalen und nach dem Arbeitsnamen filtern. Inserate mit einem Alter unter 18 zeigen wir nicht, und auch keine anderen Inserate mit derselben Nummer. Die Suche und die Liste der Inserate können Suchmaschinen aufnehmen, mit Arbeitsname, Altersgruppe und Merkmalen. Widersprichst du, verschwindet die Karte sofort bei uns; bei einer Suchmaschine erst, wenn sie die Seite neu liest – das melden wir ihr. Was sie schon kopiert hat, können wir nicht selbst löschen. Der Name steht in keiner Adresse und in keinem Seitentitel, und wie lange unser Server einen gesuchten Namen hält, steht unter «Wenn du die Seite besuchst».

Raum-Inserate. Ein Inserat, mit dem jemand einen Raum für Sexarbeit vermietet, erscheint nicht als Karte, sondern in unserer Übersicht der Räume: mit Portal, Verweis auf das Original, Kanton, Gemeinde, Art des Raums, Miete und ab wann er frei ist. Kein Name, kein Text, keine Adresse des Raums.

Die Telefonnummer. Damit dieselbe Person auf mehreren Portalen nicht mehrfach gezählt wird, rechnen wir die Nummer beim Einlesen mit einem geheimen Schlüssel in einen nicht umkehrbaren Wert um (HMAC) und verwerfen sie dann; sie erreicht die Datenbank nie. Wer den Schlüssel hätte, könnte Nummern durchprobieren. Deshalb liegt er getrennt von der Datenbank und in keiner Sicherung, und deshalb behandeln wir den Bestand nicht als anonym, sondern als Personendaten.

Die Zuordnung zu einem Haus. Einem Haus, das wir führen, ordnen wir ein Inserat nur zu, wenn es sicher zu genau diesem Haus gehört; bleibt ein Zweifel, ordnen wir nicht zu. Gespeichert wird allein, zu welchem Haus das Inserat gehört – nie die Adresse aus dem Inserat, auch nicht als Hashwert. Jedes neue Lesen des Inserats ersetzt die Zuordnung; einen Verlauf gibt es nicht.

Wie lange. Arbeitsname, Alter und Körpermerkmale löschen wir, sobald wir das Inserat sieben Tage nicht mehr gesehen haben, beim nächsten nächtlichen Lauf danach; auf der Seite kann eine Angabe, die das Portal nicht mehr zeigt, bis zu diesem Lauf stehen bleiben. Diese drei Angaben kommen in keine Zeitreihe und in keine Sicherung. Die Aufrufzahlen löschen wir 400 Tage nach der Ablesung. Die übrigen Angaben behalten wir unbefristet, weil der Wert einer Marktmessung in der Zeitreihe liegt; ist das Inserat nicht mehr aktiv, erscheinen sie nur noch als Teil von Zählungen, etwa auf den Ortsseiten und in den Marktzahlen – dort steht jede Zahl, auch eine kleine wie 1 oder 2.

Widerspruch ohne Konto. Jede Karte hat einen Knopf zum Widersprechen. In aller Regel ist die Karte damit sofort verborgen, mit Name, Altersgruppe und Merkmalen. Endgültig wird der Widerspruch nach 24 Stunden: Dann sperren wir den Kontaktschlüssel – Inserate mit dieser Nummer nehmen wir auch auf anderen Portalen nicht mehr auf –, und beim nächsten nächtlichen Lauf sind die Angaben aus der Datenbank gelöscht. Hat das Inserat keine Nummer, sperren wir nur seine Adresse; ein neues Inserat unter einer anderen Adresse erkennen wir dann nicht. Damit niemand fremde Einträge leeren kann, gibt es Bremsen; greift eine, bleibt die Karte stehen, bis wir den Widerspruch angesehen haben, und die Seite sagt es dir. Die Sperrliste enthält nur Hashwerte. Hat sich jemand deine Karte bei uns als Favorit gespeichert, löschen wir auch diesen Eintrag, sobald der Widerspruch endgültig ist – beim nächsten nächtlichen Lauf. Eine Sicherung des Messbestands kann ein widersprochenes Inserat noch enthalten, bis sie überschrieben ist; Name, Alter und Merkmale sind darin nie.

Wie wir abrufen. Was die robots.txt eines Portals sperrt, rufen wir nicht ab. Wir fälschen keine Browserkennung, wechseln keine Adressen, lösen keine CAPTCHAs und greifen auf nichts hinter einer Anmeldung oder Bezahlschranke zu. Eine Altersabfrage, die man mit einem Klick und ohne jede Angabe bestätigt, bestätigen wir. Unser Abrufer nennt sich «rosalon-marktanalyse» und trägt eine Kontaktadresse.

Warum wir dich nicht einzeln informieren: Wir haben keinen Weg zu dir – gerade weil wir deine Nummer nicht speichern. Deshalb steht es hier, öffentlich und vollständig.

Die Frauen auf den Websites der Häuser. Von der Seite eines Hauses, auf der es seine Damen vorstellt, speichern wir Name, Altersgruppe und Services. Kein Alter als Zahl, keine Körpermerkmale, keine Fotos, keine Beschreibungen, keine Anwesenheitszeiten. Nur solange sie dort steht: Fehlt sie beim nächsten Besuch, spätestens nach sieben Tagen, ist der Eintrag gelöscht, ohne Verlauf und in keiner Sicherung. Veröffentlicht werden Name, Altersgruppe und Services auf einer eigenen Unterseite des Hauses, die Suchmaschinen nicht aufnehmen; die Hausseite selbst nennt keinen Namen. Bei jeder Frau steht ein eigener Knopf «Das bin ich, bitte entfernen». Ohne Konto, ohne Nachweis und ohne Angaben ist sie damit in aller Regel sofort verborgen; endgültig gelöscht und gesperrt ist der Eintrag nach 24 Stunden. Wirkt der Knopf ausnahmsweise nicht, sagt die Seite es – dann genügt eine Nachricht an [email protected]. Damit sie nicht wiederkommt, bewahren wir dafür einen Hashwert und den Tag auf, sonst nichts.

Der Veranstaltungskalender. Aus den Websites der Häuser und aus den Party-Rubriken einiger Portale lesen wir Veranstaltungen: Art, Datum oder Wochentag, Uhrzeit, Zahl der Frauen, Preis, Kanton oder Region, das Haus und den Verweis auf die Quelle. Titel und Text lesen wir nur, um diese Angaben herauszuziehen, und speichern sie nicht. Steht eine Veranstaltung im Inserat einer einzelnen Person, erscheint sie nur mit festem Datum, ohne Namen und ohne Titel; der Verweis führt auf ihr Inserat. Namen von Frauen, die an einer Veranstaltung teilnehmen, übernehmen wir nicht. Wie lange ein Eintrag bleibt, steht unten in der Tabelle.

Betriebe. Von Studios, Salons, Clubs, Laufhäusern und Agenturen führen wir die Geschäftsangaben, die sie selbst veröffentlichen: Name, Typ, Adresse, Telefon, WhatsApp, Telegram, E-Mail, Website und Öffnungszeiten. Bei Telegram ist das der Benutzername des Betriebs; wir nehmen ihn nur aus einem Link auf sein Konto auf der eigenen Website des Hauses, und nur, wenn wir dort genau eines finden, oder tragen ihn von Hand ein – nie aus einem Portal oder Inserat. Öffentlich zeigen wir davon Name, Typ, Ort, Adresse, Kontakt, Öffnungszeiten und Preise von der eigenen Website des Hauses – jedes mit Herkunft und Stand. Dazu verlinken wir den Eintrag des Betriebs bei jedem Portal, auf dem wir ihn zuletzt gesehen haben – die Adresse des Eintrags, keine Nummer von dort. Bei einem Betrieb, hinter dem nach unserer Messung womöglich eine einzelne Person steht, zeigen wir weniger. Keine Öffnungszeiten, weil das ihre Anwesenheitszeiten wären; die Seite sagt, warum. Kein Telegram-Konto, weil es ihr persönliches Konto wäre. Telefon, WhatsApp und E-Mail stehen dort nur, wenn der Betrieb sie auf seiner eigenen Website nennt oder wir sie geprüft und von Hand eingetragen haben. Eine Nummer oder Mailadresse, die wir nur aus seinem Eintrag auf einem Portal kennen, zeigen wir bei einem solchen Betrieb nicht und löschen sie beim nächsten nächtlichen Lauf; von der Nummer bleibt nur der Kontaktschlüssel (siehe oben). Der Link auf seinen Eintrag beim Portal steht auch bei einem solchen Betrieb: Er führt auf die Seite, auf der der Betrieb seinen Kontakt selbst veröffentlicht. Öffnungszeiten lesen wir nur, wo sie für den ganzen Betrieb gelten; einen Wochen-, Tages- oder Dienstplan einzelner Frauen lesen wir nie. Telefon und E-Mail nutzen wir ausserdem, um Betriebe auf rosalon anzusprechen; per SMS oder Messenger schreiben wir niemanden unaufgefordert an. Führst du ein Einzelunternehmen und betrifft der Eintrag dich persönlich, schreib uns, und er verschwindet.

Beim Besuch der Websites von Betrieben halten wir zusätzlich fest, ob eine Website mit der Anerkennung durch Krankenkassen wirbt und – bei Betrieben, die auf einem Erotikportal stehen – ob sie ohne erotische Begriffe von Medizin, Therapie oder Wellness spricht: das Stichwort, die Seite und das Datum, keinen Text. Diese Angaben sind nur intern sichtbar und werden 30 Tage nach der letzten Sichtung gelöscht; die zweite schon früher, sobald ein Besuch auf der Website ein erotisches Wort findet oder der Betrieb auf keinem Erotikportal mehr steht.

Taxiunternehmen. Wo weder Uber noch Bolt fährt, zeigt eine Hausseite die drei nächsten Taxiunternehmen. Name, Telefonnummer, Postleitzahl und Ort übernehmen wir aus dem Verzeichnis taksi.ch; Einträge, die nach einer einzelnen Person mit Handynummer aussehen, übernehmen wir nicht. Ein Eintrag bleibt, bis taksi.ch ihn nicht mehr führt; angezeigt wird nur, was wir in den letzten 90 Tagen dort gesehen haben.

22. Wo die Daten liegen und wer sie sonst sieht

Die Daten liegen auf Geräten in der Schweiz, die wir selbst betreiben. Kein Hoster, kein Cloud-Speicher, kein Dienstleister, der in die Datenbank sieht.

Zwischen deinem Konto und der Marktmessung gibt es in der Datenbank keine Verknüpfung, und die Weboberfläche kommt an die Marktmessung gar nicht heran.

Meldest du dich mit Google, Apple oder Microsoft an, spricht unser Server direkt mit dem Anbieter, um die Anmeldung zu bestätigen; was dieser dabei festhält, richtet sich nach seiner eigenen Datenschutzerklärung. Wer keinen dieser Knöpfe drückt, hat mit keinem dieser Anbieter zu tun – die Seite lädt nichts von ihnen nach.

Wer ausser uns etwas sieht:

• der Mailanbieter, über den unsere Mails laufen: green.ch AG, Industriestrasse 33, 5242 Lupfig, Schweiz (siehe «E-Mails von uns»);
• Cloudflare, Inc., mit Sitz in den USA: Über einen Tunnel von Cloudflare ist die Seite ans Internet angebunden, und bald läuft auch die Namensauflösung (DNS) unserer Adresse über Cloudflare. Cloudflare leitet die Anfragen deines Browsers an unser Gerät weiter und sieht dabei deine IP-Adresse und deine Anfrage, also welche Seite du aufrufst. Cloudflare betreibt Rechenzentren in über 100 Staaten, auch in der Schweiz; gespeichert werden Daten nach Angabe von Cloudflare vor allem in den USA und im Europäischen Wirtschaftsraum. Einen angemessenen Datenschutz haben nach der Liste des Bundesrats die Staaten des Europäischen Wirtschaftsraums, die USA nur bei Unternehmen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind; Cloudflare, Inc. gibt an, so zertifiziert zu sein. Für den Fall, dass die Zertifizierung wegfällt, sehen die Vertragsbedingungen von Cloudflare Standarddatenschutzklauseln vor, die an das Schweizer Recht angepasst sind (Art. 16 Abs. 2 lit. d DSG). Was Cloudflare davon aufzeichnet und wie lange, prüfen wir noch. Cloudflare zählt die Anfragen an unsere Seite auch selbst; diese Summen – je Tag die Zahl der Anfragen, Seitenaufrufe und Besucher und je Tag und Land die Zahl der Anfragen – holen wir jede Nacht bei Cloudflare ab und bewahren sie ohne Frist auf, als Nachweis, wie viel die Seite besucht wird. Darin steht keine IP-Adresse, keine Seite, keine Uhrzeit und keine einzelne Anfrage;
• Google, Apple oder Microsoft, nur wenn du dich mit einem Konto bei einem davon anmeldest: Der Anbieter erfährt, dass du ein Konto bei rosalon hast, und bestätigt uns deine E-Mail-Adresse. Er ist dafür selbst verantwortlich, nach seiner eigenen Datenschutzerklärung; je nach Anbieter sitzt die verantwortliche Gesellschaft in den USA oder in Irland. Irland hat nach der Liste des Bundesrats einen angemessenen Datenschutz, die USA nur bei Unternehmen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Wer keinen dieser Knöpfe drückt, hat mit keinem dieser Anbieter zu tun;
• eine Vertrauensperson, die uns bei der Prüfung vertritt, wenn wir ausfallen; sie sieht nur, was sie für den Entscheid braucht: eingereichte Profile mit allen Angaben und Bildern, den Nachweis zur Altersprüfung bis zu seiner Löschung, später hochgeladene Bilder, eingereichte Raumangebote samt der Adresse für Anfragen sowie Widersprüche und Meldungen samt Kontaktangabe. Häuser, Bewertungen, Statistik, die Kontenverwaltung und die Marktmessung sieht sie nicht, und zu unseren Geräten hat sie keinen Zugang;
• Suchmaschinen mit Sitz in den USA, in Russland, Tschechien, Südkorea und Singapur, denen wir über IndexNow die Adressen neuer, geänderter oder entfernter öffentlicher Seiten melden – nur die Adresse; welche Suchmaschine wo sitzt und auf welcher Grundlage, steht unter «Wenn du inserierst: dein Profil»;
• opentransportdata.swiss, betrieben von der SBB AG im Auftrag des Bundesamts für Verkehr, in der Schweiz, wenn eine Hausseite eine ÖV-Verbindung abfragt: nur zwei gerundete Punkte und die Uhrzeit, nichts über dich (siehe «Wenn du die Seite besuchst»);
• sobald wir Bezahlangebote eröffnen, unsere Bank in der Schweiz, über die Rechnungen bezahlt werden: Die Bank sieht, wer an uns zahlt, mit Betrag, Datum und Referenz (siehe «Wenn du bezahlst»);
• die TWINT Acquiring AG in der Schweiz, wenn du eine Rechnung in der TWINT-App bezahlst: Diese wickelt die Zahlung als eigene Verantwortliche ab, nach ihrer eigenen Datenschutzerklärung, und erfährt, dass du an uns zahlst und wie viel – nicht, wofür;
• wer einen Marktbericht kauft: nur Zahlen, nie etwas über eine Person (Absatz darunter);
• bei Verdacht auf Minderjährigkeit oder Zwang allenfalls eine Behörde oder Fachstelle (siehe «Meldungen»);
• eine Behörde oder ein Gericht, wenn wir zur Herausgabe verpflichtet sind.

Wir verkaufen keine Daten über Personen. Was wir verkaufen, sobald wir Bezahlangebote eröffnen, sind Marktberichte: Zahlen über Angebot, Preise und Nachfrage, nie unter fünf Inseraten je Zahl, nie über eine einzelne Person oder ein einzelnes Inserat. Aus deinem Besuch steht darin nur, was in Summen aufgeht: wie oft nach Kanton, Rubrik und Leistung gesucht wurde, und getippte Suchbegriffe, die einem Service, einem Ort, einem Merkmal oder einem bei uns geführten Haus entsprechen, als Monatssummen ab fünf Suchen – nie ein gesuchter Name, nie eine Nummer, eine Mail- oder Strassenadresse und nichts aus einem einzelnen Besuch (siehe «Statistik: zählen und festhalten, ohne dich zu kennen»).

23. Schutz und Sicherungen

Eingerichtet ist: Passwörter nur als scrypt-Hash, Sitzungs- und Linkschlüssel nur als Hash; jede Abfrage im Anbieterbereich prüft, ob das Profil zu deinem Konto gehört; eine Sperre gegen das Durchprobieren von Passwörtern; Anmeldung und Registrierung verraten nicht, ob eine Adresse ein Konto hat.

Was fehlt, und wir sagen es: Die Datenbank und die Bilder sind auf dem Gerät selbst nicht verschlüsselt gespeichert.

Gesichert wird jede Nacht. Die Sicherungen liegen auf dem Gerät selbst und zusätzlich auf einem zweiten Gerät, das wir ebenfalls selbst betreiben, in der Schweiz und im selben Gebäude – es schützt gegen den Ausfall eines Geräts, nicht gegen Brand, Wasser oder Diebstahl. Auf beiden Geräten bleiben je 14 Stände, also rund zwei Wochen. Die Marktmessung sichern wir ohne Namen, Alter und Merkmale, unverschlüsselt. Konten, Profile, Bewertungen, Favoriten, Meldungen und die übrigen Einträge, die hier entstehen, sichern wir seit dem 26. September 2026 nur verschlüsselt, die Bilder der Profile und Häuser seit dem 7. Oktober 2026 ebenso; entschlüsseln kann sie keines der beiden Geräte, der Schlüssel dazu liegt auf keinem davon. Nicht in diese Sicherung kommen die Karten zu fremden Inseraten, die Frauen auf den Websites der Häuser, das Bild deines Ausweises, die Liste der Suchen mit Datum und Uhrzeit, laufende Anmeldungen und die Liste der Klicks mit Datum und Uhrzeit.

Was du löschst, ist deshalb nicht im selben Augenblick überall weg: In den Sicherungen steht es noch, bis der letzte Stand davor überschrieben ist, höchstens rund zwei Wochen. Dasselbe gilt, wenn du deine Bewertungen ohne Bezug zu dir stehen lässt: Der Verweis auf dein Konto steht in den Ständen von vorher noch, bis sie überschrieben sind. Wir greifen darauf nur zurück, um nach einem Ausfall wiederherzustellen.

Wenn doch etwas passiert: Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für dich, melden wir sie so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und informieren dich, wenn es zu deinem Schutz nötig ist (Art. 24 DSG).

24. Wie lange wir was aufbewahren

Art. 6 Abs. 4 DSG verlangt, Personendaten zu vernichten oder zu anonymisieren, sobald sie für den Zweck nicht mehr nötig sind. Wo oben noch eine Frist fehlt, legen wir sie fest und tragen sie hier ein.

25. Deine Rechte

Alle Rechte übst du mit einer Nachricht an [email protected] aus.

• Auskunft (Art. 25 DSG): ob und welche Daten wir über dich bearbeiten, zu welchem Zweck, wie lange, woher und an wen. Kostenlos, in der Regel innert 30 Tagen. Gelöste Bewertungen können wir darin nicht nennen: In der Datenbank steht nicht mehr, von welchem Konto sie sind.
• Berichtigung und Löschung (Art. 32 DSG): Was du selbst eingetragen hast, änderst oder löschst du im Anbieterbereich selbst – ein Profil oder dein ganzes Konto mit einem Knopf, sofort und ohne Rückfrage. Ein Konto, das nichts anbietet, löschst du auf der Kontoseite. Für alles andere schreib uns.
• Herausgabe (Art. 28 DSG): die Daten, die du uns gegeben hast, in einem gängigen elektronischen Format.
• Widerspruch: gegen eine Karte zu einem fremden Inserat mit dem Knopf auf der Karte, sonst per Nachricht.
• Beschwerde: beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Wie wir dich erkennen. Wir bestätigen niemandem, ob eine bestimmte E-Mail-Adresse hier ein Konto hat, solange die anfragende Person nicht zeigt, dass sie Zugang zu diesem Postfach hat. Schreib deshalb von der Adresse deines Kontos aus. Geht das nicht mehr, melde dich trotzdem; wir suchen einen anderen Weg.

Betrifft dich ein fremdes Inserat, können wir einem Kontaktschlüssel ohne die Nummer nichts zuordnen. Nenn uns die Nummer: Wir verwenden sie für die Suche und speichern sie nicht.

26. Änderungen

Diese Erklärung ändert sich, wenn sich das Programm ändert, und jede Fassung trägt ein Datum. Betrifft eine Änderung etwas, wofür du eingewilligt hast, fragen wir neu.